インテリジェント・コネクテッド・ビークル―自動運転システムの安全要求

［無料］
中華人民共和国国家標準
GB 44721-2026

インテリジェント・コネクテッド・ビークル―自動運転システムの安全要求
Intelligent and connected vehicle — Safety requirements for automated driving system

公布：2026年7月30日
施行：2027年7月1日

国家市場監督管理総局
国家標準化管理委員会　公布

GB/T 44721-2024に代わるもの

前言

本規格は、GB/T 1.1-2020「標準化業務ガイドライン 第1部：標準化文書の構成及び起草規則」の規定に従って起草された。

本規格は、GB/T 44721-2024「インテリジェント・コネクテッド・ビークル―自動運転システム一般技術要求」を強制国家標準へ移行したものである。

GB/T 44721-2024と比較すると、構成上の調整及び編集上の変更を除き、主な技術的変更は以下のとおりである。

• 標準の適用範囲を変更した（第1章参照、2024年版の第1章）。

• 用語及び定義を変更した（第3章参照、2024年版の第3章）。

• 略語を追加した（第4章参照）。

• 動的運転タスクに関する要求を変更した（5.1参照、2024年版の第4章、第5章及び6.3）。

• ヒューマン・マシン・インタラクションに関する要求を変更した（5.2参照、2024年版の6.2及び第7章）。

• ユーザーへの情報提供に関する要求を変更した（5.3参照、2024年版の第8章）。

• 安全保証要求を変更した（第6章参照、2024年版のA.2）。

• 安全保証要求の検査を追加した（第7章参照）。

• セーフティケースの検査を追加した（第8章参照）。

• 確認試験を変更した（第9章参照、2024年版の附録B）。

• 同一型式判定を追加した（第10章参照）。

• 標準の実施に関する規定を追加した（第11章参照）。

• 引継ぎ能力監視に関する技術要求を変更した（附録A参照、2024年版の6.1）。

• 高速道路及び／又は都市快速路に適用するレベル3自動運転機能の具体的技術要求を追加した（附録B参照）。

• レベル4自動運転機能の具体的技術要求を追加した（附録C参照）。

• セーフティケースを変更した（附録D参照、2024年版のA.1、A.3～A.6）。

本規格の一部の内容が特許に関係する可能性があることに注意されたい。本規格の公布機関は、特許を特定する責任を負わない。

本規格は、中華人民共和国工業情報化部が提出し、所管する。

本規格及び本規格が代替する規格のこれまでの公布状況は以下のとおりである。

• 2024年、GB/T 44721-2024として初めて公布された。

• 今回が第1回改訂であり、標準番号をGB 44721-2026に変更した。

1　適用範囲

本規格は、インテリジェント・コネクテッド・ビークルの自動運転システムについて、技術要求、安全保証要求及び同一型式判定を規定するとともに、対応する安全保証要求の検査、セーフティケースの検査及び確認試験等の方法を定める。

本規格は、レベル3及び／又はレベル4運転自動化システムを搭載するMカテゴリー及びNカテゴリーの車両に適用する。

本規格は、自動駐車システムには適用しない。

2　規範性引用文書

以下の文書の内容は、本文中で規範的に引用されることにより、本規格に不可欠な条項を構成する。

日付が付された引用文書については、その日付に対応する版のみを本規格に適用する。日付が付されていない引用文書については、すべての追補を含む最新版を適用する。

• GB/T 41798　インテリジェント・コネクテッド・ビークル―自動運転機能の試験場試験方法及び要求

• GB 44497　インテリジェント・コネクテッド・ビークル―自動運転データ記録システム

• GB/T 44719　インテリジェント・コネクテッド・ビークル―自動運転機能の道路試験方法及び要求

• GB/T 45312　インテリジェント・コネクテッド・ビークル―自動運転システムの運行設計条件

• GB/T 47025　インテリジェント・コネクテッド・ビークル―自動運転機能のシミュレーション試験方法及び要求

3　用語及び定義

以下の用語及び定義を本規格に適用する。

3.1　自動運転システム（automated driving system）

ADS

すべての動的運転タスクを継続して実行する能力を備えた、車両のハードウェア及びソフトウェアによって構成されるシステム。

3.2　動的運転タスク（dynamic driving task）

DDT

車両の運転に必要となる、認知、意思決定及び実行制御等の行為。

注： 動的運転タスクには通常、車両運動、照明及び信号装置等の制御が含まれる。

3.3　自動運転機能（ADS feature）

ADSが、特定の運行設計条件の下ですべてのDDTを実行する機能。

3.4　レベル3自動運転機能（level 3 ADS feature）

L3自動運転機能

ODDによる制限があり、かつフォールバックユーザーを必要とする自動運転機能。

注： GB/T 40429-2021に規定するレベル3運転自動化に対応する。

3.5　レベル4自動運転機能（level 4 ADS feature）

L4自動運転機能

ODDによる制限があり、かつフォールバックユーザーを必要としない自動運転機能。

注： GB/T 40429-2021に規定するレベル4運転自動化に対応する。

3.6　作動状態（active state）

ADSがDDTを実行して車両を制御している運行状態。

3.7　準備完了状態（available state）

自動運転機能の運行設計条件が満たされているものの、ADSがまだ制御を実行していない状態。

3.8　作動（activation）

自動運転機能を準備完了状態から作動状態へ移行させる行為。

3.9　解除（deactivation）

自動運転機能を作動状態から、制御を実行しない状態へ移行させる行為。

3.10　運行設計領域（operational design domain）

ODD

運転自動化システムの設計時に定められた、その機能の運行に適用される外部環境条件。

注： 典型的な外部環境条件には、道路、交通、天候、照明条件等がある。

3.11　運行設計条件（operational design condition）

ODC

運転自動化システムの設計時に定められた、その機能の運行に適用される各種条件の総称。運行設計領域、車両状態、乗員状態及びその他の必要条件を含む。

3.12　計画引継ぎ事象（planned takeover event）

ADSが事前に把握しており、介入要求を発する必要がある事象。

3.13　ユーザー（user）

ADSを搭載した車両を使用する者。

3.14　車内ユーザー（occupant）

ADSを搭載した車両内にいるユーザー。

3.15　フォールバックユーザー（fallback user）

自動運転機能の作動状態において、引継ぎを実行する者として指定された車内ユーザー。

3.16　乗客（passenger）

運転者又はフォールバックユーザーではない車内ユーザー。

3.17　介入（intervention）

ユーザーが、明確に定められた有効な方法によって、ADSによるDDTの実行に能動的に影響を与える行為。

3.18　ADSフォールバック応答（ADS fallback response）

ADSが介入要求を発すること及び／又は最小リスク・マヌーバーを実行すること。

3.19　介入要求（request to intervene）

ADSがフォールバックユーザーに対して引継ぎの実行を要求する通知。

3.20　引継ぎ（take over）

フォールバックユーザーが介入要求に応答し、ADSから車両の運転権限を取得する行為。

3.21　最小リスク状態（minimal risk condition）

MRC

衝突リスクを可能な限り低減した、安定した静止状態の車両状態。

3.22　最小リスク・マヌーバー（minimal risk maneuver）

MRM

ADSがDDTを安全に継続して実行できなくなった場合に、車両を最小リスク状態へ到達させるために実行する制御方策。

3.23　その他の道路利用者（other road user）

ORU

道路インフラを利用するその他のあらゆる主体。

3.24　行動能力（behavioral competency）

ADSがそのODC内で車両を制御する際に示す、期待どおりであり、かつ検証可能な能力。

3.25　機能失陥（failure）

故障の発生によって、システム又はコンポーネントに期待される挙動が終了すること。

3.26　故障（fault）

システム又はコンポーネントの機能失陥を引き起こす可能性のある異常状態。

3.27　安全保証要求（safety maintenance specification）

SMS

組織、人員及び技術的要素を含み、それらを統合する体系的な安全管理手法であり、以下を含む。

a）規範化された手順及び方法によって、特定されたリスクを管理し、リスク相互間及びリスクと緩和措置との関連性・相互作用を理解するとともに、予期しない結果が生じないことを確保する。

b）適切な技能、訓練及び認知能力を有する人員によって、ADSのライフサイクル全体を監視し、リスクを特定して適切な緩和措置を策定するとともに、ヒューマンエラーの可能性を十分に考慮する。

c）適切なツール及び設備を用いて安全管理を支援する。

3.28　シミュレーション試験（simulation test）

シミュレーションシナリオにおいて、シミュレーション・ツールチェーンを使用してADS又はADS搭載車両に対して試験を実施する方法。

3.29　シミュレーション・ツールチェーン（simulation toolchain）

シミュレーション試験を実施するために、一つ又は複数のシミュレーション試験ツール及びモデルを組み合わせたものの総称。

注： シミュレーションツールとは、ADSのシミュレーション試験に使用するハードウェア及び／又はソフトウェア設備をいう。

3.30　セーフティケース（safety case）

ADSが本規格に定める関連するADS技術要求に適合し、かつユーザー及びORUに不合理なリスクをもたらさないことを、十分で説得力があり、理解しやすい方法によって証明する構造化文書。

3.31　主張（claim）

セーフティケースにおける検証可能な記述。

3.32　論証（argument）

セーフティケースにおける文書化された説明であり、ある主張と、その主張を実現していることを示す証拠との論理的な関連性を明らかにすることを目的とするもの。

3.33　証拠（evidence）

ある主張の有効性を証明するために提示される関連資料。

例： 実車試験結果、シミュレーション試験結果、裏付けとなるデータを伴う分析等。

3.34　安全コンセプト（safety concept）

ADSの設計時に、ODCに関連する各種運行条件の下でADSがユーザー及びORUに不合理なリスクをもたらさないことを確保するために講じる安全措置についての記述。

3.35　シナリオ（scenario）

特定の走行行程において発生する可能性のある一連の走行状況についての記述。

3.36　標準シナリオ（nominal scenario）

リスクシナリオ又は機能失陥シナリオのいずれにも該当しないシナリオ。

3.37　リスクシナリオ（critical scenario）

関係するその他の道路利用者及びその行動、道路施設、障害物等により、資格を有し注意を払っている運転者がDDTを実行する際のリスクが高く、衝突を回避し、又は衝突による影響を軽減するため、その運転者が緊急の車両運動制御を実行する必要が生じる可能性のあるシナリオ。

注： 緊急の車両運動制御について、制動措置のみを用いると仮定した場合、衝突を回避するためには車両の減速度が一定の値（例えば3 m/s²）を超えることが必要となる。

3.38　機能失陥シナリオ（failure scenario）

機能失陥によって、ADSのDDT実行能力が影響を受けるシナリオ。

3.39　引継ぎ能力監視（takeover capability monitoring）

フォールバックユーザーが介入要求に応答し、ADSから車両の運転権限を取得する能力を備えているかどうかを監視すること。

3.40　車線変更制御（lane change）

方向指示器が最初に点灯してから、車両が現在の車線から目標車線へ完全に移動し、方向指示器が消灯するまでの一連の過程。

3.41　車線変更実行段階（lane change manoeuvre phase）

車両外郭が目標車線の境界線外側を越え始めてから、車両が完全に目標車線へ移動するまでの段階。

注： 車線変更実行段階は、車線変更の一部である。

3.42　MRM車線変更制御（MRM lane change）

MRMの実行中にADSが行う車線変更制御。

3.43　通常車線変更制御（regular lane change）

MRMを実行していない期間にADSが行う車線変更制御。

3.44　遠隔支援（remote assistance）

レベル4自動運転機能について、ADSが作動状態にあり、かつ対処が困難な状況に遭遇した場合に、ADSが遠隔手段によって送信された支援情報を受信し、走行行程を継続して完了すること。

注1： 遠隔支援情報には、走行軌跡の誘導、停車等がある。

注2： 戦略的機能（例えば目的地の選択）は、遠隔支援には含まれない。

3.45　ADS重大機能失陥（severe ADS failure）

ADSの主要コンポーネントの機能失陥によって、ADSの安全な運行に重大な影響が生じる機能失陥。

3.46　車両重大機能失陥（severe vehicle failure）

ADSのDDT実行能力に影響を与え、かつ手動運転にも影響を与えるあらゆる機能失陥。

4　略語

本規格では、以下の略語を使用する。

• ADS：自動運転システム（Automated Driving System）

• APS：自動駐車システム（Automated Parking System）

• ASIL：自動車安全度水準／自動車安全インテグリティレベル（Automotive Safety Integrity Level）

• DDT：動的運転タスク（Dynamic Driving Task）

• DSSAD：自動運転データ記録システム（Data Storage System for Automated Driving）

• ECU：電子制御ユニット（Electronic Control Unit）

• FIT：故障率（Failures in Time）

• FMEA：故障モード影響解析（Failure Mode and Effects Analysis）

• FTA：故障の木解析（Fault Tree Analysis）

• HAZOP：ハザード及びオペラビリティ解析（HAZard and OPerability analysis）

• KPI：主要業績評価指標（Key Performance Indicators）

• MRC：最小リスク状態（Minimal Risk Condition）

• MRM：最小リスク・マヌーバー（Minimal Risk Maneuver）

• ODC：運行設計条件（Operational Design Condition）

• ODD：運行設計領域（Operational Design Domain）

• ORU：その他の道路利用者（Other Road User）

• PMHF：ランダムハードウェア故障確率メトリック（Probabilistic Metric for random Hardware Failures）

• PVPA：潜在的車両存在領域（Potential Vehicle Presence Area）

• SMS：安全保証要求（Safety Maintenance Specification）

• SOTIF：意図した機能の安全性（Safety Of The Intended Functionality）

• STPA：システム理論プロセス解析（System Theoretic Process Analysis）

5　ADS技術要求

5.1　DDTの実行

5.1.1　一般要求

5.1.1.1

ADSの安全水準は、少なくとも、動的運転タスクを担当している資格を有し、かつ注意を払っている運転者の水準に達していなければならない。

注： 「資格を有し、かつ注意を払っている」とは、関連する法令に定める運転水準を満たしていることをいう。

5.1.1.2

ADSは、ユーザー及びORUに対して不合理な安全リスクを生じさせてはならない。

5.1.1.3

ADSは、現在の状況が自動運転機能のODCを満たしているかどうかを識別しなければならない。

5.1.1.4

作動状態において、ADSはすべてのDDTを実行しなければならない。

注： 運転席に座っている車内ユーザーが介入を行った場合、車内ユーザーによる車両の横方向運動及び／又は縦方向運動の制御がADSに優先する場合がある。

5.1.1.5

ADSは、知覚システムの性能低下に対応するため、合理的な制御方策を実行しなければならない。

5.1.1.6

レベル3自動運転機能について、そのODDに高速道路及び／又は都市快速路以外の道路が含まれる場合、ADSは少なくとも以下の能力を備えなければならない。

• 車線内巡航

• 車線変更制御

• 交差点（ラウンドアバウトを除く）の通行

注： 専用車線内のみを走行するBRT（バス高速輸送システム）については、車線変更制御能力を備えない場合がある。

5.1.1.7

レベル4自動運転機能について、そのODDが高速道路及び／又は都市快速路のみに限定される場合、ADSは少なくとも以下の能力を備えなければならない。

• 車線内巡航

• 車線変更制御

• 前方障害物を回避するため、隣接車線へ車両の一部又は全部を進入させる能力

ODDに高速道路及び／又は都市快速路以外の道路も含まれる場合、ADSは少なくとも以下の能力を備えなければならない。

• 車線内巡航

• 車線変更制御

• 交差点（ラウンドアバウトを除く）の通行

• 前方障害物を回避するため、隣接車線へ車両の一部又は全部を進入させる能力

• 後退

• Uターン

5.1.2　標準シナリオにおけるDDTの実行

5.1.2.1

ADSの運転行動によって衝突を引き起こしてはならない。

5.1.2.2

ADSは、安全関連対象物と衝突してはならない。

注： 安全関連対象物とは、衝突した場合に車両へ軽微ではない損傷を与える可能性があるもの、又はORU、ユーザー若しくはインフラに安全上のリスクを生じさせる可能性がある対象物をいう。

5.1.2.3

ADSは、安全リスクに応じて運転行動を調整しなければならず、少なくとも以下を含まなければならない。

a）運転環境に存在するリスクを予測し、リスクシナリオに遭遇する可能性を低減する。

b）安全リスクに応じて走行速度を調整する。

c）車両の縦方向及び横方向の運動を制御し、ORUとの適切な距離を維持する。

5.1.2.4

ADSは、十分に検知できない領域に存在する安全リスクに対し、合理的な制御方策によって対応しなければならない。

注： 十分に検知できない領域には、ORU又は障害物による遮蔽で生じる死角、道路のトポロジー又は形状によって生じる死角等がある。

5.1.2.5

ADSは、DDTの実行に関連する対象物及び事象を検知し、対応しなければならない。

5.1.2.6

ADSはORUと安全に相互作用しなければならず、少なくとも以下を含まなければならない。

a）予測可能な挙動を示し、安定した運転挙動を維持する。

b）有効な情報伝達を行う。
例：方向指示器、制動灯等。

5.1.2.7

レベル4自動運転機能について、乗客がC.3.1.2に定める方法で停車を要求した場合、ADSは車両を安全に停止状態としなければならない。

5.1.2.8

ADSは、安全リスクに応じて、交通流を不合理に妨げることにより交通効率を低下させてはならない。

5.1.2.9

ADSによるDDTの実行は、道路交通規則に適合しなければならない。

5.1.2.10

ADSは、優先通行権を有する車両を検知し、対応しなければならない。

例：

• 緊急任務を遂行中の警察車両

• 消防車

• 救急車

• 緊急工事・救援車両

ADS搭載車両が、これら優先通行権を有する車両の通行を妨げる場合、少なくとも以下を満たさなければならない。

a）レベル3自動運転機能：譲行制御を実行する、又はADSフォールバック応答を実行する。

b）レベル4自動運転機能：譲行制御を実行する。

5.1.2.11

ADSは、現場における交通警察官の指示を検知し、対応しなければならず、少なくとも以下を満たさなければならない。

a）レベル3自動運転機能：交通警察官の現場指示に従って通行する、又はADSフォールバック応答を実行する。

b）レベル4自動運転機能：交通警察官の現場指示に従って通行する。

5.1.3　リスクシナリオにおけるDDTの実行

5.1.3.1

合理的に実行可能な限り、ADSがリスクシナリオにおいてDDTを実行する際にも5.1.2の要求を満たし、全体的な安全リスクを最小化しなければならない。

5.1.3.2

自動運転機能が作動状態にあり、衝突が回避不能となった場合、衝突によってADSが車両の運動制御能力を失った場合を除き、ADSは事故による傷害又は損失を低減しなければならない。

注： 衝突が回避可能かどうかの判断については、動的運転タスクを担当している資格を有し、かつ注意を払っている運転者の水準を基準とする。

5.1.3.3

自動運転機能が作動状態にあり、かつ衝突が発生したことを検知した場合、衝突によってADSが車両の制動制御能力を失った場合を除き、ADSは車両を停止させなければならない。

5.1.4　機能失陥シナリオにおけるDDTの実行

5.1.4.1

合理的に実行可能な限り、ADSが機能失陥シナリオにおいてDDTを実行する際にも5.1.2の要求を満たし、全体的な安全リスクを最小化しなければならない。

5.1.4.2

ADSは、ODD内におけるDDT実行能力に影響を与える故障及び機能異常を検知しなければならない。

5.1.4.3

故障が発生した場合、ADSは以下のいずれかの要求を満たさなければならない。

a）故障によってADSがDDTを安全に実行できなくなった場合：

• ADSフォールバック応答を実行する。

• 当該故障の影響を受けるその他の自動運転機能の作動を禁止する。

• MRMを実行する場合は、5.1.6の要求に適合する。

b）ADSが引き続きDDTを安全に実行できる場合：

• 故障の重大度に応じて、DDTを実行する能力を調整する。

5.1.5　ODCを満たさないシナリオにおけるDDTの実行

5.1.5.1

ADSは、ODCを満たさない状況に対して安全に対応できなければならない。

また、予見可能なODC不適合状況については、ADSはこれを事前に予測できなければならない。

5.1.5.2

自動運転機能が作動状態にない場合、ODCを満たさない状況が存在するときは、対応する自動運転機能を作動させてはならない。

5.1.5.3

自動運転機能が作動状態にある場合、ODCを満たさない状況が発生したときは、ADSはADSフォールバック応答を実行しなければならない。

MRMを実行する場合は、5.1.6の要求に適合しなければならない。

5.1.5.4

ADSがADSフォールバック応答を実行している間も、合理的に実行可能な限り、以下の要求を満たさなければならない。

a）標準シナリオでは、5.1.2の要求を引き続き適用する。

b）リスクシナリオでは、5.1.3の要求を引き続き適用する。

c）機能失陥シナリオでは、5.1.4の要求を引き続き適用する。

5.1.6　最小リスク・マヌーバー

5.1.6.1　レベル3自動運転機能

レベル3自動運転機能について、フォールバックユーザーが引継ぎを完了しなかった場合、又はセーフティケースに記載されたMRMを直接実行する状況が発生した場合、ADSはMRMを実行して車両をMRCに到達させなければならない。

その際、以下の要求を満たさなければならない。

a）車線変更制御を実行する能力を備えること。

b）ユーザー及びORUに対する安全リスクを最小化すること。

c）車両を、交通を妨げない道路端へ移動させ、安全に停止させることを目標とする。

車両重大機能失陥又はADS重大機能失陥により、安全に道路端まで移動できない場合は、少なくとも自車線内で車両を安全に停止させること。

MRM実行中及び車両がMRCに到達した後も、ADSはフォールバックユーザーによる介入及び解除を禁止してはならない。

d）ADSによるMRM実行中及び車両がMRCに到達した後、ハザードランプを適切に使用すること。

e）ADSが車両をMRCに到達させた後は、車両の動力システムを再始動した後でなければADSを再び作動させてはならない。

ただし、エンジンの自動停止・再始動機能はこれに含まない。

5.1.6.2　レベル4自動運転機能

レベル4自動運転機能について、セーフティケースに記載されたMRMを実行する状況が発生した場合、ADSはMRMを実行して車両をMRCに到達させなければならない。

その際、以下の要求を満たさなければならない。

a）車線変更制御を実行する能力を備えること。

b）ユーザー及びORUに対する安全リスクを最小化すること。

c）車両を、交通を妨げない安全な区域に移動させて停止させることを目標とする。

少なくとも、交通を妨げない道路端まで車両を移動させ、安全に停止させなければならない。

d）車両重大機能失陥により安全に道路端まで移動できない場合、少なくとも自車線内で車両を安全に停止させること。

e）ADSによるMRM実行中及び車両がMRCに到達した後、ハザードランプを適切に使用すること。

5.2　ヒューマン・マシン・インタラクション

5.2.1　一般要求

5.2.1.1

ADSは、自動運転機能が安全に作動及び解除されることを確保しなければならない。

5.2.1.2

車両の動力システムを起動するたびに、ADSが自動的に作動してはならない。

ただし、エンジンの自動停止・再始動機能は除く。

5.2.1.3

ADSの安全関連通知は、以下の要求を満たさなければならない。

a）すべてのADS運行状態において、対象となる車内ユーザーが気付くことができること。

b）理解しやすく、曖昧さがないこと。

c）必要に応じて、複数の通知方式を用いること。

例：

• 視覚

• 聴覚

• 触覚

5.2.1.4

ADSフォールバック応答を実行する場合、ADSは車内ユーザーに対し、ADSフォールバック応答を実行中であることを示す通知信号を継続して発しなければならない。

5.2.1.5

ADSがドア制御に影響を与える場合、ADSは車内ユーザーによるドア操作がADSより優先されることを確保しなければならない。

5.2.1.6

自動運転機能が作動状態にあり、かつ衝突が発生したことを検知した場合、ADSは車内ユーザーに通知しなければならない。

この通知は、少なくともADSの解除が完了するまで、又はユーザーが確認するまで継続しなければならない。

5.2.1.7

自動駐車機能と、自動駐車機能以外の自動運転機能が同一のヒューマン・マシン・インタラクション方式を共用する場合、その方式及びその合理性をセーフティケースにおいて説明しなければならない。

注： 共用するヒューマン・マシン・インタラクション方式には、専用の操作方式、システム状態表示等が含まれる場合がある。

5.2.2　走行中に手動運転への解除を許容する自動運転機能

5.2.2.1　一般要求

5.2.2.1.1

ADSは、合理的に予見可能な車内ユーザーによる誤使用を防止できるよう設計しなければならない。

5.2.2.1.2

ADSは、車内ユーザーが自動運転機能を作動及び解除するための専用操作方式を備えなければならない。

注1： 専用操作方式には、専用の操作装置又は操作装置に対する専用の操作方法等が含まれる。

注2： APSは、同一の作動・解除専用操作方式を共用する場合がある。

5.2.2.1.3

ADS専用の車両操作装置は、明確に表示され、容易に識別でき、かつそれに適合する操作のみに応答しなければならない。

5.2.2.1.4

ADSは、自動運転機能を作動可能であるかどうかを表示しなければならない。

注： APSが作動状態にある場合、同じ運転自動化レベルのその他の自動運転機能については、作動可能かどうかの表示が不要となる場合がある。

5.2.2.1.5

自動運転機能が作動状態にある場合、以下の要求を満たさなければならない。

a）手動でDDTを実行する際に使用する操作装置については、ADSによるDDT実行に危険な干渉が生じないよう合理的に制御しなければならない。

抑制方式を採用する場合、以下を満たさなければならない。

1）ADSは、制御権が曖昧になること、又はDDTに予期しない影響が生じることを防止するため、対応する制御方策を備えなければならない。

2）運転席に座っている車内ユーザーによる操舵及び／又は制動への介入が、誤使用防止のために設計された合理的な閾値を超えた場合、ADSは介入通知を発し、5.2.2.3に従って解除方策を実行しなければならない。

3）操作装置に対する介入が抑制閾値を超えることを、ADSが解除方策を開始する主要な方法としてはならない。また、その閾値をセーフティケースに記載しなければならない。

b）レベル3自動運転機能について、ADSは前方視界を制限してはならない。

レベル4自動運転機能について、ADSによって前方視界が制限される場合、車内ユーザーがDDTを実行するときには、ADSは前方視界を直ちに手動運転に適した状態へ復帰させなければならない。

c）ADS以外の要因によって前方視界が制限される場合、車内ユーザーがDDTを実行するときには、ADSは前方視界を手動運転に適した状態へ復帰させるための合理的な制御方策を実行することを目標としなければならない。

5.2.2.1.6

運転席に座っている車内ユーザーが操舵及び／又は制動へ介入した場合について、介入後も解除方策を実行しない設定を提供する場合、車内ユーザーがその設定を選択したときは、ADSは関連する安全リスクを通知し、かつ介入中は介入通知を発しなければならない。

5.2.2.1.7

自動運転機能が作動状態にある場合、少なくとも一つの解除操作方式が、運転席に座っている車内ユーザーから常時視認可能でなければならない。

5.2.2.1.8

自動運転機能が作動状態にある場合、ADSは車内ユーザーに対し、以下の情報を継続的に通知しなければならない。

a）ADSの状態情報。

b）ADSの機能失陥によって生じたDDT実行能力の調整状況。

5.2.2.1.9

レベル3自動運転機能が作動状態にある場合、ADSは以下の要求を満たさなければならない。

a）フォールバックユーザーが引継ぎ能力を備えているかを継続的に評価し、附録Aの要求を満たすこと。

b）フォールバックユーザーが引継ぎ能力を備えていないことを検知した場合、有効な制御方策を実行し、その引継ぎ能力を回復させること。

c）フォールバックユーザーの引継ぎ能力を安全に回復させることができない場合、ADSフォールバック応答を実行し、車両をMRCに到達させること。

d）介入要求を発する場合、フォールバックユーザーが介入要求を認識し、安全にDDTを引き継ぐための十分な時間を確保すること。

5.2.2.2　自動運転機能の作動

5.2.2.2.1

ADSが準備完了状態にある場合、車内ユーザーに対して、その状態を直感的に分かる形で継続的に通知しなければならない。

5.2.2.2.2

車内ユーザーが自動運転機能を作動させようとした場合、作動に成功したかどうかを適時に通知しなければならない。

5.2.2.2.3

ADSは、5.3.3に従って、運転席に座っている車内ユーザーがADS使用トレーニングを完了していることを確認し、さらに5.3.5に従って、そのユーザーが使用説明を読み、理解したことを確認した後でなければ、作動状態へ移行してはならない。

5.2.2.2.4

レベル3自動運転機能を作動させた場合、ADSは直ちに、かつ明確に、フォールバックユーザーに対し、介入要求に応答する準備を引き続き行う必要があることを通知しなければならない。

5.2.2.2.5

ADSがレベル4自動運転機能からレベル3自動運転機能へ切り替える前に、ADSは、運転席に座っている車内ユーザーから、フォールバックユーザーを務めることへの同意確認を取得しなければならない。

5.2.2.2.6

自動駐車機能から、自動駐車機能以外の自動運転機能への切替を許容する場合、その安全な切替方策をセーフティケースに記載し、以下の要求を満たさなければならない。

a）自動駐車機能から、同一レベルの自動運転機能への切替を、車内ユーザーの確認なしで許容する場合、切替時にADSが関連情報を通知しなければならない。

b）レベル3自動駐車機能からレベル4自動運転機能への切替を、車内ユーザーの確認なしで許容する場合、切替時にADSが関連情報を通知しなければならない。

c）レベル4自動駐車機能からレベル3自動運転機能への切替を許容する場合、切替のたびにADSは以下を満たさなければならない。

1）レベル3自動運転機能の作動条件を満たすこと。

2）運転席に座っている車内ユーザーから、フォールバックユーザーを務めることへの同意確認を取得すること。

3）車内ユーザーに切替に関する情報を通知すること。

5.2.2.3　手動運転への解除

5.2.2.3.1

車内ユーザーがADSの解除要求を開始した場合、ADSは解除方策を実行し、DDTの制御権を運転席に座っている車内ユーザーへ安全に移譲しなければならない。

5.2.2.3.2

ADSは、車内ユーザーによるADS解除要求に応答しなければならない。

ただし、ADSが車内ユーザーが運転席に座っていると判定していない場合、解除方策を開始してはならない。

ADSが解除を一時的に延期する場合、その旨を車内ユーザーに通知しなければならない。

注： ADSの解除によって危険が生じる可能性がある場合、ADSは解除を一時的に延期することがある。

5.2.2.3.3

ADSは、解除完了前に、運転席に座っている車内ユーザーがDDTの実行を再開するための十分な準備が整っているかを評価しなければならない。

運転席に座っている車内ユーザーによる操舵及び／又は制動への介入が、誤使用防止のために設定された合理的な閾値を超えた場合を除き、少なくとも以下のすべての条件を満たした場合に限り、DDTを再開するための十分な準備が整ったものとみなす。

a）ステアリングホイールを握っていること。

b）視線が運転タスクに関連する領域を注視しており、かつ安全にDDTを再開するのに十分な時間、その状態が継続していること。

5.2.2.3.4

5.2.2.3.3 b）の要求について、視線監視結果が一時的に利用できない場合、視線監視に代わる他の措置を採用するときは、その措置をセーフティケースに記載しなければならない。

5.2.2.3.5

自動運転機能は、解除が完了するか、又は車両がMRCに到達するまで作動状態を維持しなければならない。

5.2.2.3.6

自動運転機能の解除が完了した場合、ADSは車内ユーザーに対して、自動運転機能が解除されたことを明確に通知しなければならない。

5.2.2.3.7

自動運転機能の解除完了時には、車両の制御権を運転者へ移譲しなければならず、かつ以下を引き起こしてはならない。

a）緊急運転支援システムが自動的に停止すること。

b）部分運転支援システム又は組合せ運転支援システムが自動的に作動すること。

注：

• 緊急運転支援システム：GB/T 40429-2021に定めるレベル0運転自動化システム

• 部分運転支援システム：同規格に定めるレベル1運転自動化システム

• 組合せ運転支援システム：同規格に定めるレベル2運転自動化システム

5.2.2.3.8

ADSの解除中は、車内ユーザーが物理的な操作装置を手動で調整した場合を除き、以下を手動運転に適した状態へ設定しなければならない。

• 手動DDTに関連する操作装置

• 外部環境の前方視界装置

• 間接視界装置

• 表示器

• 警報信号

• 信号装置

5.2.2.3.9

ADSがロック装置、例えばドアロック装置を制御している場合、ADSの解除完了後は、そのロック装置又はそれに関連する制御装置に影響を与えてはならない。

5.2.3　走行中の手動運転への解除を許容しない自動運転機能

5.2.3.1

ADSは、乗客に安全関連情報を提供しなければならない。

5.2.3.2

自動運転機能が作動状態にある場合、乗客に安全リスクを生じさせる状況が発生したときは、ADSはセーフティケースに記載された制御方策に従って対応しなければならない。

例：

• シートベルト未装着

• 乗客が着席していない

5.2.3.3

ADS搭載車両が手動運転用の操作装置を備えている場合、例えば以下の操作装置について、

• 操舵

• 常用制動

• 駐車制動

• 加速

• 照明

その設計は、ADSがDDTを実行している間にDDTへ一切の影響を与えないようにするか、又は手動運転用操作装置に触れることを防ぐ合理的な保護措置を講じなければならない。

5.3　ユーザーへの情報提供

5.3.1

ADS搭載車両について、車両メーカーは、自動車製品の取扱説明書とは別に、一般にアクセス可能な方法でADSの使用説明をユーザーへ提供しなければならない。

注： 一般にアクセス可能な方法には、例えば以下がある。

• 車両メーカー公式ウェブサイト

• 車載ディスプレイ端末

• モバイルスマート端末

5.3.2

使用説明は、ユーザーが読みやすく、理解しやすく、操作しやすい表現とし、少なくとも以下の内容を含まなければならない。

a）自動運転機能、その能力、運転自動化レベル及び限界についての説明。

b）ADSが回避不能な衝突リスクシナリオに遭遇した場合の制御方策についての説明。

c）以下についての説明。

• 自動運転機能の作動

• 解除

• 引継ぎ（L3に適用）

• 介入

• 最小リスク・マヌーバー

またL3については、引継ぎと介入の違い、解除方法の推奨使用順序等も含む。

d）ユーザーの役割変更の仕組み及び過程についての説明。

注1： ユーザーの役割変更には、例えば以下がある。

• ユーザーによるADS作動

• ユーザーによるADS解除開始

• ユーザーによる介入要求への応答

• ADSがL4自動運転機能からL3自動運転機能へ切り替わる際のユーザー役割変更

e）L3について、介入要求が発せられた後、フォールバックユーザーに引継ぎのために確保される時間及び必要な操作についての説明。

f）自動運転機能が作動状態にある間、ユーザーに許容される非運転関連活動及びその関連リスクについての説明。

g）自動運転機能に関する各状態及び状態遷移、並びに対応する状態通知信号についての説明。

これには以下が含まれる。

• 視覚通知

• 聴覚通知

• 触覚通知

注2： 一般的な状態には、準備完了状態、作動状態、MRM実行状態等がある。

h）ADSに故障が発生した後のDDT実行能力の変化についての説明。

i）手動運転用操作装置を備える場合、ユーザーによる操作入力に自動運転機能がどのように応答するかについての説明。

j）ユーザーによる介入を弱めたり抑制したりする可能性のある状況が存在する場合、その状況及びADSによるDDT実行への影響についての説明。

k）L4自動運転機能について、乗客が停車を要求する方法。

l）ユーザーがADSを使用する前に講じる必要のある追加的な安全予防措置。

例：ADSセンサーが遮蔽されていないかを確認すること。

m）ADS使用中に交通事故が発生した場合の、ユーザー向け緊急対応に関する推奨事項。

n）ADSの安全運行を確保するために必要な保守作業。

例：定期点検。

o）複数ユーザー管理に対応する車両について、関連リスク及び推奨事項。

例：車両を他人へ引き渡す前に、現在のアカウントからログアウトするよう通知すること。

p）トレーラーを連結した状態でもADSを作動可能な車両について、以下を説明すること。

• ADSに適合するトレーラーの要求

  • 外形寸法

  • 最大許容総重量

  • 制動性能等

• ADS使用に関するリスク

  • 例えば、ユーザーがトレーラーについて車両メーカーの要求に適合していることを確認する必要があること

5.3.3　ADS使用トレーニングの確認

走行中の手動運転への解除を許容しない自動運転機能を除き、車両の動力システムを再起動するたびに、運転席に座っている車内ユーザーがADS使用トレーニングを完了しているかどうかを、少なくとも以下のいずれかの方法で確認しなければならない。

a）運転席に座っている車内ユーザーにADS使用トレーニングを実施し、その完了を確認する。

b）生体認証。

c）車両が停止している状態でのアカウントログイン。

5.3.4

5.3.3 c）の方法を用いる場合、ADSは運転者に数字又はその他の形式のパスワードを入力させることにより、その者がADS使用トレーニングを完了しているかどうかを確認しなければならない。

注： その他の形式のパスワードには、文字入力、ジェスチャーパスワード等がある。

5.3.5　使用説明を読了・理解したことの確認

走行中の手動運転への解除を許容しない自動運転機能を除き、車両は、運転席に座っている車内ユーザーが使用説明を読み、理解したことを確認するための方式を提供しなければならない。

その方式は、以下の要求を満たさなければならない。

a）車両が停止状態にある場合にのみ確認操作を許可すること。

b）確認方式は、以下のいずれかを含むこと。

• 長押し

• 少なくとも2回の意図的な操作
  例：ダブルクリック

c）ソフトウェアアップデートにより使用説明が変更された場合、次回の作動前に、運転席の車内ユーザーに確認方式を提供すること。

d）運転席に座っている車内ユーザーが遅くとも30日以内に確認を行っていないことを検知した場合、次回の作動前に確認方式を提供すること。

5.4　その他の要求

5.4.1

ADS搭載車両は、**GB 44497に適合するDSSAD（自動運転データ記録システム）**を搭載しなければならない。

5.4.2

ADSは、他の車両システムからの信号を受信し、管理しなければならない。

これらの信号の一覧及びその管理方法は、セーフティケースに記載しなければならない。

5.4.3

L4自動運転機能が作動状態にある場合、ADSは、セーフティケースに記載された方法に従って、本来であれば運転者が実行すべき、DDTには含まれない操作を実行しなければならない。

ADSがそのような必要な操作を実行しない場合、セーフティケースにおいて、それらの操作がどのように実行されるのかを説明しなければならない。

5.4.4

トレーラーを連結した状態でもADSを作動できる車両について、車両メーカーは、トレーラーに関連する実施方策が本規格の安全要求に適合していることを証明しなければならない。

5.4.5

L3自動運転機能について、そのODCに高速道路及び／又は都市快速路が含まれる場合、本章の要求に加えて、附録Bの要求にも適合しなければならない。

5.4.6

L4自動運転機能について、本章の要求に加えて、附録Cの要求にも適合しなければならない。

6　保証要求

6.1　安全保証要求

6.1.1　一般要求

車両メーカーは、SMS（安全保証要求）を構築・実施し、SMSに関連するプロセス及び活動を記録しなければならない。

6.1.2　安全方針

6.1.2.1

安全方針は、車両メーカーが期待される安全成果を達成するために設定した目標の概要を示すものでなければならない。

6.1.2.2

車両メーカーは、その安全方針が以下の事項を実施していることを証明する証拠を提供しなければならない。

a）安全方針及び原則。

b）組織の安全目標、並びにセーフティケースで使用する安全性能指標を策定するプロセス。

c）法令（例えば道路交通規則）、標準、ベストプラクティス・ガイドライン及びADSの適用シナリオを考慮し、SMSに適用する枠組みを構築するとともに、組織構造、プロセス及び成果物をSMSに対応付けること。

d）安全文化。

e）安全管理。これには以下を含む。

• 経営層によるコミットメント

• 明確な責任分担

• 職務上の責任

f）品質管理体系。

6.1.3　リスク管理

6.1.3.1

SMSには、組織、人員及び技術の各レベルにおけるリスクを特定、評価及び緩和するための、統合的なリスク管理プロセスを含めなければならない。

また、リスク緩和措置と、関連する各リスクとの間の関連性を明確にしなければならない。

6.1.3.2

車両メーカーは、以下を含むリスク管理プロセス及び活動を記録しなければならない。

a）リスク特定。

b）リスク分析。

c）リスク評価。

d）リスク処置。

e）リスク評価を継続的に更新することを確保するプロセス。

f）組織の安全パフォーマンス及びリスク管理の有効性をレビューするプロセス。

6.1.4　安全保証

6.1.4.1

車両メーカーは、SMSのプロセスが継続して実施されていることを確保するため、独立した内部監査及び外部検査を定期的に実施していることを証明しなければならない。

6.1.4.2

車両メーカーは、ADSの開発、製造又は配備後段階に関与するあらゆる組織との間に、適切な業務メカニズムを構築しなければならない。

例えば以下を含む。

• 契約サプライヤー

• サービスプロバイダー

• 車両メーカーの傘下組織

適切な業務メカニズムには、例えば以下がある。

• 契約管理

• 品質管理体系

• 開発インターフェース協定

車両メーカーは、そのプロセス及び活動について、少なくとも以下を記録しなければならない。

a）サプライチェーン管理方針。

b）サプライチェーン・リスクの管理メカニズム。

c）サプライヤーのSMSに対する評価及び対応する監査プロセス。

d）開発、生産及び配備後の各段階における安全を確保するための協定、例えば契約を締結するプロセス。

e）分散型安全活動のプロセス。

f）法的義務を履行していることを証明するため、関係者へ安全関連情報を提供するプロセス。

6.1.4.3

SMS文書は、SMSに関連する変更に応じて定期的に更新しなければならない。

SMSを監査及び変更する際には、ギャップ分析を用いなければならない。

また、より適切な新たなSMSを策定する前に、既存の安全文化について確認し、問題が十分に解決されていることを確保しなければならない。

6.1.4.4

車両メーカーは、以下を実現するためのプロセスを構築しなければならない。

a）SMSに記録されたすべての実務及び活動が実施されることを確保する。

b）関連要求への適合性について独立した確認を行うことを確保する。少なくとも、確認を行う者は、確認対象となるデータの提供者であってはならない。

c）SMSを継続的に評価し、その有効性を維持することを確保する。

6.1.4.5

車両メーカーは、ADSのライフサイクル全体にわたるSMSの有効性を測定するため、適切なKPIを定義しなければならない。

注： ライフサイクル全体には通常、以下の段階が含まれる。

• 開発

• 生産

• 配備後

6.1.5　安全性向上

6.1.5.1

SMSには、継続的改善のプロセスを含めなければならない。

SMS文書の変更については、要求に従って報告しなければならない。

6.1.5.2

車両メーカーは、以下のメカニズムを構築し、維持しなければならない。

a）安全事項に関する社内の有効なコミュニケーション・メカニズム。

b）外部との情報共有メカニズム。

c）SMSに関する教育・訓練計画。

6.1.6　設計及び開発管理

6.1.6.1

SMSには、設計・開発段階において安全方針が実施されていることを示す証明を含めなければならない。

これには以下を含む。

a）設計・開発段階に関係する人員の役割及び責任。

b）安全に影響を与える意思決定を担当する人員の資格及び経験。

c）設計活動と生産活動との間における、役割、責任及び情報伝達の調整。

6.1.6.2

車両メーカーは、設計・開発段階におけるロバスト性を確保するため、対応するプロセス及び活動を実施しなければならない。

これには以下を含む。

a）

組織がすべての設計・開発活動をどのように実施するかについての全体的な説明。

b）

ADS搭載車両におけるADS関連の設計、開発、統合及び実装、並びにセーフティケース関連のプロセス及び活動。

これには、以下を含むが、これらに限定されない。

1）要求管理
例：要求の取得及び確認。

2）実車試験条件。

3）シミュレーション試験条件。

4）ツール管理。

5）システム統合。

6）ソフトウェア開発保証。

7）ハードウェア開発保証。

8）機能安全及びSOTIF管理。

これには、リスク評価及びリスク間の相互作用に対する継続的な評価・更新、並びに関連する分析方法を含む。

例えば以下がある。

• FMEA

• FTA

• STPA

• その他、機能安全及びSOTIFに適用可能な分析方法

9）ヒューマンファクター管理。

これには、人間中心設計に基づく、安全関連のインタラクション設計プロセスを含む。

c）

変更管理プロセス。

これには、以下を含むが、これらに限定されない。

1）主要な設計上の意思決定。

2）ADS設計の変更。

3）安全に影響を与える意思決定を担当する主要人員の変更。

4）ADSの安全検証に使用するツール及び主要パラメータ。

6.1.6.3

車両メーカーは、以下の安全分野を実現する関係者の間に、有効なコミュニケーション・メカニズムを構築しなければならない。

• 機能安全

• SOTIF

• サイバーセキュリティ

• その他の車両安全

関係者には例えば以下が含まれる。

• 外部サプライヤー

• 車両メーカー内部の専門部門

6.1.6.4

SMSには、セーフティケースにおける安全性能指標を策定するためのプロセスを含めなければならない。

例えば以下を含む。

• SOTIFにおける受入基準

• 機能安全におけるFIT値

• PMHF値

6.1.7　生産管理

6.1.7.1

車両メーカーは、SMSにおいて生産プロセス及び活動を構築し、記録しなければならない。

その記録には、少なくとも以下を含めなければならない。

a）品質管理体系。

b）車両メーカーが実施するすべての生産機能についての説明。

これには以下の管理を含む。

• 作業条件

• プロセス運用環境

• 設備

• ツール

6.1.7.2

車両メーカーは、SMSにおいて分散型生産プロセス及び活動を構築し、記録しなければならない。

これらのプロセス及び活動には、以下を含まなければならない。

a）車両メーカーと、サプライチェーンに関与するその他すべての組織との間の協力メカニズム。

例えば以下が含まれる。

• サプライヤー

• パートナー

• 下請事業者

b）サプライチェーンに関与するその他の組織が生産するサブシステム又はコンポーネントの受入基準、又は生産保証要求をサプライチェーンへ展開する仕組み。

6.1.8　配備後安全管理

車両メーカーは、安全監視及び安全管理を行う能力を備えなければならない。

6.2　試験条件

6.2.1　シミュレーション試験

6.2.1.1　一般要求

車両メーカーは、各シミュレーション・ツールチェーンが6.2.1.2～6.2.1.9の要求を満たしていることを証明し、それがシミュレーション試験に適用可能であることを示さなければならない。

6.2.1.2　データ管理

6.2.1.2.1　一般要求

6.2.1.2.1.1

ADSのライフサイクル全体にわたり、車両メーカーは、シミュレーション・ツールチェーンの検証、妥当性確認及び更新に使用する関連データを管理しなければならない。

車両メーカーは、これらデータの以下を確認しなければならない。

• 完全性

• 正確性

• 一貫性

6.2.1.2.1.2

車両メーカーは、シミュレーション・ツールチェーンの妥当性確認に使用するデータを記録しなければならない。

6.2.1.2.1.3

車両メーカーの管理下にない他の組織のデータ又はツールをシミュレーション・ツールチェーンへ統合する場合、車両メーカーは、それらのデータ又はツールの品質及び完全性を確保するために講じた措置を説明しなければならない。

6.2.1.2.1.4

車両メーカーは、データ品質に起因するシミュレーション・ツールチェーン及びその出力の不確実性を定量化しなければならない。

データ品質には、例えば以下を含む。

• データカバレッジ

• S/N比

• センサーの不確実性

• センサーの偏差

• サンプリングレート

6.2.1.2.2　入力データ及びシミュレーション・ツールチェーン・パラメータの管理

車両メーカーは、シミュレーション・ツールチェーンの検証及び妥当性確認に使用する入力データを記録しなければならない。

記録文書には、少なくとも以下を記載しなければならない。

a）入力データの重要な品質特性。

b）入力データが、シミュレーション試験によって評価しようとする自動運転機能をカバーしていること。

c）シミュレーション・ツールチェーンに関連するパラメータを適合させるためのキャリブレーション手順。

d）シミュレーション・ツールチェーンの新しいバージョンをリリースする際に、データ又はパラメータを変更した理由。

6.2.1.2.3　出力データの管理

6.2.1.2.3.1

車両メーカーは、シミュレーション・ツールチェーンの妥当性確認に使用する出力データを記録しなければならない。

各出力記録は、その出力を生成した入力データまで追跡可能でなければならない。

6.2.1.2.3.2

車両メーカーは、出力データについて統計分析を実施し、その分析によって得られたすべての重要な品質特性を記録しなければならない。

6.2.1.2.3.3

車両メーカーは、出力データの品質が以下の作業を支援するのに十分であることを証明しなければならない。

a）シミュレーション・ツールチェーン及びそのコンポーネントの妥当性確認。

b）シミュレーション・ツールチェーン及びそのコンポーネントに対する一貫性又は合理性の確認。

c）セーフティケースを裏付ける証拠の生成。

6.2.1.2.3.4

シミュレーション・ツールチェーンに確率的モデルが含まれる場合、車両メーカーはその管理について以下の要求を満たさなければならない。

a）シミュレーション・ツールチェーンの出力の分散を記述すること。

b）シミュレーション・ツールチェーンが決定論的に反復実行できることを確保すること。

決定論性を保証できない場合、車両メーカーは、そのことによる信頼性への影響が許容可能であることを証明する証拠を提供しなければならない。

注1： 確率的モデルとは、偶然性又は確率に関連する一つ以上の確率変数を含むモデルをいう。

注2： 決定論的な反復実行とは、同じ入力、同じ設定、同じバージョンという条件でシミュレーションを複数回実行した場合に、最終的な出力結果が事前に定義された要求又は指標の範囲内に安定して収まることをいう。

6.2.1.3　人員能力

6.2.1.3.1

車両メーカーは、以下の人員が必要な能力を備えていることについて記録し、その根拠を提示しなければならない。

a）シミュレーション・ツールチェーン及びそのコンポーネントを開発する人員。

b）シミュレーション・ツールチェーン及びそのコンポーネントを評価する人員。

注： 評価には、管理、分析、検証及び妥当性確認を含む。

c）シミュレーション・ツールチェーンを使用してADSの確認試験を実施する人員。

6.2.1.3.2

車両メーカーは、シミュレーション・ツールチェーンの開発、評価及び使用に必要な技能、知識及び経験を特定し、維持するためのプロセス及び手順を構築し、実施しなければならない。

少なくとも以下のプロセスを構築、維持及び記録しなければならない。

a）モデリング及びシミュレーション活動に必要な人員能力を特定・評価するプロセス。

b）モデリング及びシミュレーション活動を実施できるよう、人員を訓練するプロセス。

6.2.1.3.3

車両メーカーは、シミュレーション・ツールチェーンの開発、評価及び使用に関与する人員の記録を保存しなければならない。

その記録により、当該人員が必要な訓練を受け、必要なモデリング及びシミュレーション活動を実行する能力を備えていると判断されていることを証明しなければならない。

6.2.1.3.4

車両メーカーは、シミュレーション・ツールチェーンに関連する支援組織との間に適切な業務メカニズムを構築し、当該支援組織の人員が割り当てられた業務を実行するための適切な能力を備えていることを確保しなければならない。

6.2.1.3.5

車両メーカーと支援組織との間に構築する業務メカニズムは、6.1.4.2及び6.1.6.3の要求を満たさなければならない。

6.2.1.4　リリース管理

6.2.1.4.1

シミュレーション・ツールチェーンのライフサイクル全体にわたり、車両メーカーは、シミュレーション試験に使用するシミュレーション・ツールチェーンを管理・維持しなければならない。

その管理及び維持は、ADSの配備後段階が終了するまで継続しなければならない。

6.2.1.4.2

車両メーカーは、シミュレーション・ツールチェーンのリリース管理プロセスを管理・記録し、少なくとも以下を記録しなければならない。

a）各シミュレーション・ツールチェーンのリリースに伴う変更内容。

b）関連するすべてのソフトウェア及びハードウェア構成の情報。

ソフトウェアについては、例えば以下を含む。

• 特定のソフトウェア製品

• 名称

• バージョン

c）シミュレーション・ツールチェーンの受入れ及びリリースに関する内部レビュー活動。

6.2.1.5　シミュレーション・ツールチェーンの仮定、既知の制限及び不確実性の定量化

6.2.1.5.1

車両メーカーは、シミュレーション・ツールチェーンの設計を導くモデリング上の仮定及び考慮事項を記述しなければならない。

6.2.1.5.2

車両メーカーは、以下の情報を提供しなければならない。

a）各シミュレーション・ツールチェーン及びそのコンポーネントの開発時に設定した仮定、並びにそれらの仮定によって生じる適用範囲及び適用可能性の制限。

b）各シミュレーション・ツールチェーン及びそのコンポーネントについて、忠実度レベルを選択した根拠。

注： 忠実度とは、モデルとモデル化対象との類似度をいう。

6.2.1.5.3

車両メーカーは、シミュレーション・ツールチェーンに関連する許容差が適切であり、受入試験及び受入基準に適合していることを証明しなければならない。

6.2.1.5.4

車両メーカーは、各シミュレーション・ツールチェーン及びそのコンポーネントにおける不確実性の発生源を詳細に説明し、それが試験結果に与える影響を評価しなければならない。

6.2.1.6　シミュレーション・ツールチェーンの適用範囲

6.2.1.6.1

車両メーカーは、各シミュレーション・ツールチェーンの適用範囲を記録し、その限界を特定しなければならない。

6.2.1.6.2

車両メーカーは、シミュレーション・ツールチェーンが定義された適用範囲内で使用可能であることを証明しなければならない。

6.2.1.6.3

シミュレーション・ツールチェーンの適用範囲はODCと関連付け、ODCへの適用に関する制限条件を特定しなければならない。

6.2.1.6.4

車両メーカーは、各シミュレーション・ツールチェーンが関連する物理現象をどのようにシミュレートするかを示し、必要な精度水準を満たしていることを証明しなければならない。

6.2.1.6.5

車両メーカーは、シミュレーション・ツールチェーンの妥当性確認に用いる試験項目一覧、対応するパラメータ及び既知の制限を提示しなければならない。

6.2.1.7　シミュレーション・ツールチェーンのクリティカリティ分析

車両メーカーは、シミュレーション・ツールチェーンの重要性、及びそれがセーフティケースにおける主張へ与える影響を評価しなければならない。

6.2.1.8　シミュレーション・ツールチェーンの検証

6.2.1.8.1　一般要求

車両メーカーは、シミュレーション・ツールチェーンが、明示的には試験されていない有効入力に対して非現実的な挙動を示さないことを証明しなければならない。

注： 有効入力とは、シミュレーション・ツールチェーンにあらかじめ設定された規則及び範囲に適合し、正常な応答を引き起こす入力データをいう。

6.2.1.8.2　シミュレーション・ツールチェーンのコード検証

6.2.1.8.2.1

車両メーカーは、各シミュレーション・ツールチェーン及びそのコンポーネントを評価する際に用いたコード検証技術の実施状況を記録しなければならない。

例えば以下を含む。

• 静的コード検証

• 動的コード検証

• 収束性解析

6.2.1.8.2.2

車両メーカーは、入力パラメータ空間を十分に探索し、シミュレーション・ツールチェーンが不安定又は非現実的な挙動を示すパラメータの組合せが存在するかどうかを確認したことを証明しなければならない。

6.2.1.8.2.3

車両メーカーは、シミュレーション・ツールチェーンのコードについて合理性及び一貫性を確認する手順を実施し、その結果情報を提出して、シミュレーション・ツールチェーンのロバスト性を証明しなければならない。

6.2.1.8.3　シミュレーション・ツールチェーンの計算検証

6.2.1.8.3.1

車両メーカーは、数値誤差の推定値を記録しなければならない。

例えば以下を含む。

• 離散化誤差

• 丸め誤差

• 反復計算の収束誤差

6.2.1.8.3.2

車両メーカーは分析結果をレビューし、数値誤差について十分に理解し、かつ制限していることを証明し、シミュレーション・ツールチェーンをシミュレーション試験に使用できることを確保しなければならない。

6.2.1.8.4　シミュレーション・ツールチェーンの感度分析

6.2.1.8.4.1

車両メーカーは、適切な感度分析技術を用いて、シミュレーション・ツールチェーンの出力に最も大きな影響を与える入力データ及びパラメータを特定したことを証明しなければならない。

これにより、シミュレーション・ツールチェーン全体の出力の不確実性を特徴付けなければならない。

6.2.1.8.4.2

車両メーカーは、すべてのシミュレーション・パラメータ、特に最重要パラメータに適切な数値を割り当てるため、ロバストなキャリブレーション手順を採用したことを証明しなければならない。

6.2.1.9　シミュレーション・ツールチェーンの妥当性確認

6.2.1.9.1

車両メーカーは、定量的指標に基づいて妥当性確認分析を実施し、各シミュレーション・ツールチェーンが、それによって表現される実システムをどの程度正確に再現しているかを確認しなければならない。

6.2.1.9.2

車両メーカーは、シミュレーション・ツールチェーンの出力結果と実車試験結果との間に、一貫性及び相関性があることを示す証拠を提供しなければならない。

6.2.1.9.3

車両メーカーは、十分な代表性を持つ一連の試験に基づいてシミュレーション・ツールチェーンの妥当性確認を行い、その適用範囲内で使用可能であることを証明しなければならない。

6.2.1.9.4

車両メーカーは、実車試験結果とシミュレーション・ツールチェーン出力結果を比較するための性能観測量を定義しなければならない。

6.2.1.9.5

車両メーカーは、適切な統計手法を用いて、実車試験結果とシミュレーション・ツールチェーンの対応する出力結果を比較しなければならない。

6.2.1.9.6

車両メーカーは、各シミュレーション・ツールチェーン及びそのコンポーネントの開発過程において、受入試験及び受入基準を定め、対応する受入基準を満たしていることを証明しなければならない。

6.2.1.9.7

車両メーカーは、シミュレーション試験の用途に応じて、各シミュレーション・ツールチェーンの妥当性確認に使用する方法及び試験を定義しなければならない。

少なくとも以下の一つ又は複数を含まなければならない。

a）サブシステムの妥当性確認

例：

• 環境モデル

• センサーモデル

• 車両動力学モデル

b）車両システムの妥当性確認

ここでいう車両システムとは、車両動力学モデルと環境モデルの組合せをいう。

c）センサーシステムの妥当性確認

ここでいうセンサーシステムとは、センサーモデルと環境モデルの組合せをいう。

d）統合システムの妥当性確認

ここでいう統合システムとは、以下のいずれかをいう。

• センサーモデルと、車両動力学モデルの影響を受ける環境モデルとの組合せ

• センサーモデル、車両動力学モデル及び環境モデルの組合せ

6.2.1.9.8

車両メーカーは、シミュレーション・ツールチェーンの適用範囲とODCとの適合度を明確にしなければならない。

6.2.1.9.9

車両メーカーは、シミュレーション・ツールチェーンの開発過程で定義した精度基準を満たしていることを証明しなければならない。

6.2.1.9.10

車両メーカーは、妥当性確認活動に関連するプロセスが実施されていることを証明しなければならない。

6.2.1.9.11

車両メーカーは、不確実性の特性分析結果、シミュレーション・ツールチェーンの使用方法、及びシミュレーション試験で使用する際に設定した安全マージンを記録しなければならない。

注： 安全マージンとは、シミュレーション・ツールチェーンを使用して試験を行う際、その不確実性等による誤差を補償する目的で意図的に追加する余裕をいう。

6.2.1.9.12

車両メーカーは、以下を証明しなければならない。

a）各シミュレーション・ツールチェーンの重要入力を推定する方法を備えていること。

b）その推定方法を実際に適用していること。

c）推定結果を記録していること。

6.2.1.9.13

車両メーカーは、各シミュレーション・ツールチェーン及びそのコンポーネントにおける重要パラメータを特定しなければならない。

必要に応じて、重要パラメータについて以下を示さなければならない。

• 限定範囲

• パラメータ分布に関する特性量

• 統計量

6.2.1.9.14

車両メーカーは、シミュレーション・ツールチェーンに関する仮定に基づき、各シミュレーション・ツールチェーン及びそのコンポーネントの不確実性が適切に特徴付けられていることを証明しなければならない。

6.2.1.9.15

車両メーカーは、シミュレーション・ツールチェーンに関連する以下二種類の不確実性を区別していることを証明しなければならない。

• 偶然的不確実性

• 認識論的不確実性

注1： 偶然的不確実性とは、データ情報に内在するノイズをいう。

注2： 認識論的不確実性とは、モデリング過程に関する知識不足によって生じる不確実性をいう。

6.2.2　試験場試験

車両メーカーは、試験場試験に使用する施設、環境及び能力が、試験場試験の意図した用途及び試験計画全体における役割と一致し、かつセーフティケースを裏付ける証拠を収集できることを証明しなければならない。

さらに、車両メーカーは以下を証明しなければならない。

a）実施する試験場試験に、ODC及び想定運行条件を反映する静的要素及び動的要素が含まれていること。

b）試験場試験中に使用する設備について、測定結果に十分な正確度及び精度を確保するため、定期的に以下を実施していること。

• 検査

• 保守

• 校正

6.2.3　道路試験

車両メーカーは、道路試験に使用する道路、施設、環境及び能力が、道路試験の意図した用途及び試験計画全体における役割と一致し、かつセーフティケースを裏付ける証拠を収集できることを証明しなければならない。

さらに、車両メーカーは以下を証明しなければならない。

a）選定した試験ルートにおいて、ADSが以下のシナリオに遭遇する十分な確率があること。

1）多数のORUが存在する状況。

2）以下のような、一般的ではない条件。

• 稀な道路インフラ

• 非典型的な道路条件

• 非典型的な環境条件

b）道路試験中に使用する設備について、測定結果に十分な正確度及び精度を確保するため、定期的に以下を実施していること。

• 検査

• 保守

• 校正

7　保証要求の検査

7.1　安全保証要求の検査

7.1.1　一般要求

7.1.1.1

検査担当者は、車両メーカーのSMSが6.1の要求に適合していることを検査しなければならない。

7.1.1.2

検査担当者は、車両メーカーのSMSを検査し、車両メーカーが安全リスクを管理し、ADSのライフサイクル全体、すなわち以下の各段階における安全関連プロセスについて、十分なロバスト性を備えていることを確認しなければならない。

• 開発

• 生産

• 配備後

7.1.1.3

検査担当者は、車両メーカーによるSMS活動プロセスの監視について、そのロバスト性を評価しなければならない。

また、車両メーカーが適切な是正措置又は予防措置を講じ、すべての安全上の問題を解決する能力を備えているかを評価しなければならない。

7.1.2　安全方針の検査

検査担当者は、車両メーカーの安全方針が6.1.2の要求に適合し、以下の事項を含んでいることを検査しなければならない。

a）SMSの構築、運用及び維持の基礎となる原則及び目標。

b）組織のニーズに適した組織構造及び安全管理要素。

c）安全へのコミットメントに関する声明。

d）組織内の関係者が安全文化に参加・定着するよう導くための措置及び方法。

7.1.3　リスク管理の検査

検査担当者は、車両メーカーのリスク管理プロセスが6.1.3の要求に適合し、以下を含んでいることを検査しなければならない。

a）リスクに対応し、予防するための措置を備えていること。

b）対象とするリスクには、以下を含むが、これらに限定されない。

1）ADS自体のリスク。

2）ADSのライフサイクル全体で特定されたリスク。これには関係当事者のリスクを含む。

3）SMSの有効性に影響を与える、組織又は人員に起因するリスク。

4）ADSの安全性に影響を与える、組織又は人員に起因するリスク。

c）リスク管理プロセス及び活動がADSのライフサイクル全体をカバーし、実際に実施されていること。

7.1.4　安全保証の検査

検査担当者は、車両メーカーの安全保証プロセスが6.1.4の要求に適合し、以下を含んでいることを検査しなければならない。

a）独立した内部監査及び外部検査を定期的に実施していること。

b）サプライチェーン及びADSの安全に影響を与える可能性のある関係組織についての管理プロセス。

c）変更管理プロセスを備えていること。

d）許容可能な安全水準を維持するための是正措置プロセスを備えていること。

e）ADS及びSMSに適用する是正措置。

f）KPIを測定するための監視実務を備えていること。

g）ADS及びSMSに適用する監視実務。

h）適合性評価及び監査業務を実施するための独立した機能を設置していること。

7.1.5　安全性向上の検査

検査担当者は、車両メーカーの安全性向上プロセスが6.1.5の要求に適合し、以下を含んでいることを検査しなければならない。

a）職務を遂行できる人員の能力水準。

b）人員の能力を向上させるための訓練プロセス。

c）社内及び社外との安全コミュニケーション経路。

d）継続的改善プロセス。

7.1.6　設計・開発管理の検査

検査担当者は、車両メーカーの設計・開発プロセスが6.1.6の要求に適合し、以下を含んでいることを検査しなければならない。

a）設計・開発段階の管理プロセス。

b）以下が設計・開発プロセスに適用されていることを示す証明文書。

• 安全方針

• リスク管理

• 安全保証

• 安全性向上

7.1.7　生産管理の検査

検査担当者は、車両メーカーの生産管理プロセスが6.1.7の要求に適合し、以下を含んでいることを検査しなければならない。

a）生産段階の管理プロセス。

b）以下が生産管理プロセスに適用されていることを示す証明文書。

• 安全方針

• リスク管理

• 安全保証

• 安全性向上

7.1.8　配備後安全管理の検査

検査担当者は、車両メーカーの安全監視及び安全管理能力が6.1.8の要求に適合していることを検査しなければならない。

7.2　試験条件の検査

7.2.1　シミュレーション試験条件の検査

7.2.1.1

検査担当者は、車両メーカーのシミュレーション試験条件が6.2.1の要求に適合し、シミュレーション試験の実施に適していることを検査しなければならない。

注： 検査担当者は、車両メーカーに対し、シミュレーション・ツールチェーンの実行及び結果生成の実演を求める場合がある。

7.2.1.2

検査担当者は、検査結果及び追加試験がある場合はその結果について、車両メーカーが提示した情報と整合していることを確認しなければならない。

注： 検査担当者は追加試験の実施を求める場合がある。

7.2.2　試験場試験条件の検査

検査担当者は、車両メーカーの試験場試験条件が6.2.2の要求に適合し、試験場試験の実施に適していることを検査しなければならない。

注： 検査担当者は、車両メーカーに対して試験場試験の一部を実施するよう求める場合がある。

7.2.3　道路試験条件の検査

検査担当者は、車両メーカーの道路試験条件が6.2.3の要求に適合し、道路試験の実施に適していることを検査しなければならない。

注： 検査担当者は、車両メーカーに対して道路試験の一部を実施するよう求める場合がある。

8　セーフティケースの検査

8.1　一般要求

検査担当者は、車両メーカーが附録Dに従って提出するセーフティケースを検査しなければならない。

8.2　内容の検査

8.2.1　セーフティケースの完全性

検査担当者は、車両メーカーのセーフティケースの完全性を検査しなければならない。

セーフティケースの完全性は、少なくとも以下の要求を満たさなければならない。

a）システム記述が附録DのD.1の要求に適合していること。

b）安全コンセプトが一貫し、かつ完全であり、D.2の要求に適合していること。

c）主張、論証及び証拠が、少なくとも以下を満たしていること。

1）D.3.1.2に基づき、対象となる各要求が一つ以上の主張によって説明されていること。

2）D.2.1.1、D.2.6.1.1及びD.3.1.3に基づき、主張の集合によって、ADSに不合理なリスクが存在しないことを証明できること。

3）D.3.1.1 a）に基づき、各主張が一つ以上の論証によって裏付けられていること。

4）D.3.1.1 b）に基づき、各論証が一つ以上の証拠によって裏付けられていること。

5）D.2.6.1.1に基づき、車両メーカーが主張に関連する指標及び受入基準を記録していること。

6）D.3.1.1 c）に基づき、主張、論証及び証拠それぞれに一意の識別情報が付されていること。

7）D.3.1.6に基づき、要求から証拠まで、前後方向にトレーサビリティが確保されていること。

8）D.3.1.4及びD.3.1.7～D.3.1.9の要求を満たしていること。

注： 検査担当者は、補足資料の提出又は証拠の再現への協力を求める場合がある。

8.2.2　セーフティケースのロバスト性

検査担当者は、車両メーカーのセーフティケースのロバスト性を検査しなければならない。

セーフティケースのロバスト性は、少なくとも以下の要求を満たさなければならない。

a）安全コンセプトにおいて特定されたすべてのリスクが、低減、緩和又は受容されており、かつ全体的な残余リスクが、定性的又は定量的に、不合理なリスクの閾値を下回っていること。

b）ADS及びその機能の開発、検証及び妥当性確認について、その完全性レベルがリスクを不合理なリスク閾値未満まで低減するのに十分であること。

c）車両メーカーが、ADS又はADSと相互作用する他の車両システムによって生じる潜在的な意図しない機能を制限する措置を講じていること。

d）D.3.2.1に基づき、証拠取得に使用した試験条件が許容可能な信頼度水準に達し、かつパラメータ変化に対して安定していること。

e）D.3.2.5.1に基づき、試験証拠が十分に記述された以下の組合せによって得られ、試験方法間で結果の一貫性が示されていること。

• シミュレーション試験

• 試験場試験

• 道路試験

f）8.3に基づき、提示された証拠が再現可能であり、かつ安全目標が一貫して維持されていること。

g）証拠が、想定運行区域内における予見可能な運行条件及び事象を合理的にカバーし、D.2.5.2.7及びD.2.5.2.8の要求に適合していること。

これには以下を含む。

• ODD内の状況

• ODDを超える可能性のある状況

h）D.4に基づき、車両メーカーが一つ以上の内部監査を実施し、発見された問題について是正措置を講じていること。

注： 検査担当者は、補足資料の提出又は証拠の再現への協力を求める場合がある。

8.3　試験活動の検査

8.3.1　一般要求

8.3.1.1

検査担当者は、車両メーカーが採用した試験方法が、セーフティケース及び性能要求又は機能要求への適合性を証明するのに適していることを検査しなければならない。

8.3.1.2

検査担当者は、シミュレーション試験、試験場試験、道路試験等の結果を総合したカバレッジが、セーフティケースの主張を裏付けるのに十分であることを検査しなければならない。

8.3.2　シナリオ及びその管理の検査

8.3.2.1

検査担当者は、車両メーカーが、ADSのODC及びセーフティケースに関連するADSの行動能力を導き出すため、適切なプロセスを採用し、記録していることを検査しなければならない。

8.3.2.2

検査担当者は、車両メーカーがシナリオを特定・生成する方法及びプロセスが適切であり、D.3.2.2.2の要求に適合していることを検査しなければならない。

8.3.2.3

検査担当者は、車両メーカーが特定・生成したシナリオがD.3.2.2.3の要求に適合していることを検査しなければならない。

8.3.2.4

検査担当者は、車両メーカーが具体的なシナリオを選択する際にD.3.2.2.4の要求を満たしていることを検査しなければならない。

8.3.3　試験プロセスの検査

検査担当者は、車両メーカーの試験プロセスがD.3.2.3.1及びD.3.2.3.2の要求に適合していることを検査しなければならない。

8.3.4　試験証拠の検査

8.3.4.1　一般要求

8.3.4.1.1

検査担当者は、車両メーカーがセーフティケースを証明するために使用する、異なる試験方法から得られた証拠を検査しなければならない。

試験方法には以下を含む。

a）シミュレーション試験。

b）試験場試験。

c）道路試験。

8.3.4.1.2

検査担当者は、車両メーカーが提示した、ADSのDDT実行能力を証明する証拠を検査しなければならない。

8.3.4.1.3

検査担当者は、車両メーカーが提示した、ADSがユーザーと安全に相互作用する能力を証明する証拠を検査しなければならない。

8.3.4.1.4

検査担当者は、ADSとの相互作用に関連する特定の試験ケースがD.3.2.5.5の要求に適合していることを検査しなければならない。

8.3.4.1.5

検査担当者は、実施された試験項目が、以下の観点を含め、セーフティケースを裏付ける証拠として適切であることを検査しなければならない。

• カバレッジ

• 一貫性

• 関連性

8.3.4.1.6

検査担当者は、試験結果によってADSのDDT実行時の行動能力がD.3.2.4.2の要求を満たすことを証明できるかを検査しなければならない。

8.3.4.2　シミュレーション試験証拠の検査

8.3.4.2.1

検査担当者は、車両メーカーが実施したシミュレーション試験を検査しなければならない。

シミュレーション試験では、6.2.1の要求に従い、シミュレーション・ツールチェーンにおいて以下の要因を十分に考慮しなければならない。

• 仮定

• 正確性

• 不確実性等

検査担当者は、シミュレーション試験結果にこれらの考慮事項が反映されていることを検査しなければならない。

8.3.4.2.2

検査担当者は、確率的要素を含むシミュレーション・ツールチェーンを用いたすべてのシミュレーション試験について、試験結果に存在し得る不確実性が考慮されていることを検査しなければならない。

8.3.4.2.3

検査担当者は、シミュレーション試験にリスクシナリオ及び低確率事象が含まれ、D.3.2.5.2の要求に適合していることを検査しなければならない。

8.3.4.3　試験場試験証拠の検査

8.3.4.3.1

検査担当者は、車両メーカーがセーフティケースを裏付けるために提示した試験場試験証拠を検査しなければならない。

8.3.4.3.2

検査担当者は、試験場試験のシナリオがD.3.2.5.3の要求に適合していることを検査しなければならない。

8.3.4.4　道路試験証拠の検査

検査担当者は、車両メーカーがセーフティケースを裏付けるために提示した道路試験証拠がD.3.2.5.4の要求に適合していることを検査しなければならない。

9　確認試験

検査担当者は、セーフティケースに基づき、複数の試験方法を使用して自動運転機能の性能を確認しなければならない。

試験場試験は、GB/T 41798に従って実施しなければならない。

道路試験は、GB/T 44719に従って実施しなければならない。

シミュレーション試験を採用する場合、検査担当者は、GB/T 47025に従ってシミュレーション試験を実施しなければならない。

10　同一型式判定

10.1　直接同一型式とみなす条件

以下のすべての条件を満たす場合、同一型式とみなす。

a）完成車製造企業が同一であること。

b）自動運転システム安全要求の検査・試験報告書における保証要求関連部分が有効であり、その発行日から3年以内であること。

c）車両型式情報を除き、セーフティケースにおける主張が同一であること。

d）ADS関連の知覚システム及び関連部品について、以下が同一であること。

• 種類

• 製造企業

• 名称

• 型式

• 数量

• 取付位置

e）ADS関連の測位システム及び関連部品について、以下が同一であること。

• 種類

• 製造企業

• 名称

• 型式

• 数量

f）ADSを構成するECUハードウェアについて、以下が同一であること。

• 製造企業

• 名称

• 型式

• 数量

g）ADSソフトウェア、例えば知覚、計画、意思決定等について、以下が同一であること。

• 製造企業

• ソフトウェア型式

• ソフトウェアバージョン

ただし、ADSの性能に影響を与えないことを前提として、ソフトウェアバージョンが異なることを認める。

h）ADSのソフトウェア・アーキテクチャ特性が同一であること。

これには、例えば以下を含む。

• 知覚モデルのフレームワーク

• 計画モデルのフレームワーク

• 意思決定モデルのフレームワーク

• 地図モデルのフレームワーク

• エンドツーエンド・モデルのフレームワーク

図示及び説明を併せて提示する。

i）ADSの知覚・測位システム及び関連部品とECUとの論理的接続関係が同一であること。

j）自動運転機能のヒューマン・マシン・インタラクション方式が同一であること。

これには以下を含む。

• 作動

• 介入

• 解除

k）自動運転機能の各状態、例えば準備完了状態、作動状態等、及び状態遷移、例えば作動、解除等について、ユーザーへの通知情報及び通知方策が同一であること。

l）ADS又は自動運転機能のODCが同一であること。

m）自動運転機能が同一であること。

n）L3自動運転機能について、引継ぎ事象及び介入要求の制御方策が同一であること。

注： 引継ぎ事象には、計画引継ぎ事象及び非計画引継ぎ事象を含む。

o）MRMの方策及びMRCが同一であること。

p）L3自動運転機能について、フォールバックユーザーの引継ぎ能力監視コンポーネントの以下が同一であること。

• 種類

• 製造企業

• 名称

• 型式

• 数量

q）L3自動運転機能について、フォールバックユーザーの引継ぎ能力監視に用いる指標及び閾値設定が同一であること。

r）L3自動運転機能について、フォールバックユーザーの引継ぎ能力不足を通知する情報方式及び方策が同一であること。

通知方式には以下を含む。

• 視覚

• 聴覚

• 触覚等

10.2　検査・試験による確認後に同一型式とみなす条件

ADSについて10.1に定める条件の変更がある場合でも、以下のすべての条件を満たすときは、変更されたパラメータに関連する技術要求のみ追加検査・試験を行い、審査・認可後に型式の拡張を取得することができる。

a）完成車製造企業が同一であること。

b）自動運転システム安全要求の検査・試験報告書における保証要求関連部分が有効であり、その発行日から3年以内であること。

c）車両型式情報を除き、セーフティケースにおける主張が同一であること。

d）ADS関連の知覚システム及び関連部品の種類、数量及び取付位置が同一であること。

e）ADS関連の測位システム及び関連部品の種類及び数量が同一であること。

f）ADSを構成するECUハードウェアの製造企業、名称、型式及び数量が同一であること。

g）ADSソフトウェア、例えば知覚、計画、意思決定等について、製造企業、ソフトウェア型式及びソフトウェアバージョンが同一であること。

ただし、ADSの性能に影響を与えないことを前提として、ソフトウェアバージョンが異なることを認める。

h）ADSのソフトウェア・アーキテクチャ特性が同一であること。

これには、知覚、計画、意思決定、地図等のモデルフレームワーク又はエンドツーエンド・モデルフレームワークを含み、図示及び説明を併せて提供する。

i）ADSの知覚・測位システム及び関連部品とECUとの論理的接続関係が同一であること。

j）自動運転機能が同一であること。

k）L3自動運転機能について、介入要求の制御方策が同一であること。

l）以下の条件を除き、ADS又は自動運転機能のODCのその他の要素が同一であること。

1）ODCにおける道路タイプが同一又は縮小されていること。

2）ODCにおける時間条件が同一又は縮小されていること。

3）ODCにおける最高車速が同一又は低下していること。

4）ODCにおける天候条件が同一又は条件の程度が低減されていること。

5）ODCにおける車線タイプが同一又は縮小されていること。

11　標準の実施

新たに型式認可を申請する車種については、本規格の施行日から本規格を適用する。

すでに型式認可を取得している車種については、本規格の施行日から13か月目より本規格を適用する。

附録A

（規範性）

引継ぎ能力監視の技術要求

A.1　シートベルト監視要求

A.1.1

ADSは、フォールバックユーザーがシートベルトを着用しているかどうかを継続的に監視しなければならない。

A.1.2

自動運転機能が作動状態にある場合、フォールバックユーザーがシートベルトを着用していないときは、ADSは介入要求を発しなければならない。

A.2　在席監視要求

A.2.1

ADSは、フォールバックユーザーが運転席に座っているかどうかを継続的に監視しなければならない。

A.2.2

自動運転機能が作動状態にある場合、フォールバックユーザーが1秒を超えて運転席に座っていない場合、ADSは介入要求を発しなければならない。

注： 「フォールバックユーザーが運転席に座っていない」とは、フォールバックユーザーがいる位置ではDDTを実行できない状態をいう。

A.3　DDT実行能力の監視要求

A.3.1

ADSは、直前の時間周期内において、フォールバックユーザーがDDTを実行する能力を備えていることを、少なくとも2種類の有効な指標によって独立して確認しなければならない。

この時間周期は30秒以下でなければならない。

これを満たさない場合、フォールバックユーザーはDDTを実行する能力を備えていないものとみなす。

注1： 指標には、例えば以下がある。

• 特定のヒューマン・マシン・インタラクション操作

• 眼球運動

• 頭部運動

• 身体運動

• 音声出力

• 生理的特徴等

注2： いかなる時点においても、フォールバックユーザーがDDTを実行する能力を備えていないと判断される場合がある。

A.3.2

自動運転機能が作動状態にある場合、以下のいずれかに該当するとき、

• 監視可能な指標が2種類未満である

• フォールバックユーザーがDDT実行能力を備えていないと判定された

ADSは以下の要求を満たさなければならない。

a）DDT実行能力が不足していることを示す明確な通知信号を直ちに発すること。

b）DDT実行能力不足の通知信号は、ADS作動状態における車両のその他の通知信号と明確に区別できるものであること。

c）ADSがDDT実行能力不足の通知信号を発している間に、フォールバックユーザーがDDT実行能力を回復したことを検知した場合、その通知信号を停止すること。

d）ADSがDDT実行能力不足の通知信号を発している間に、フォールバックユーザーがDDT実行能力を回復したことを検知できない場合、介入要求を発すること。

介入要求は、DDT実行能力不足の通知信号を発してから遅くとも15秒以内に発しなければならない。

附録B

（規範性）

高速道路及び／又は都市快速路に適用するレベル3自動運転機能の具体的技術要求

B.1　DDTの実行

B.1.1　一般要求

B.1.1.1

ADSは作動状態において、車両を車線内で走行させ、目的なくいかなる車線境界線も越えないよう確保しなければならない。

ここで車線境界線を越えるとは、前輪外側縁が車線境界線の外側縁を越えることをいう。

ADSは、ORUへの干渉を回避するため、車線内において車両の横方向及び縦方向の運動を安定して維持することを目標としなければならない。

B.1.1.2

ADSが交通外乱に対応する際、緊急衝突回避制御を行う必要がなかった場合、交通外乱が解消した後、ADSは当初の安全な走行状態へ復帰しなければならない。

注： 交通外乱とは、ORUの行動によってADSの通常走行状態が妨げられ、ADSに回避動作を強いる可能性のある交通状況をいう。

B.1.1.3

ADSが車線内巡航だけでなく、車線境界線を越える能力も備える場合、他車線へ進入することのリスクを評価するため、十分な以下の検知能力を備えなければならない。

• 前方

• 側方

• 後方

B.1.1.4

ADSが、前方の障害物を回避するために車両の一部を隣接車線へ進入させる能力を備える場合、以下を満たさなければならない。

a）以下の両方を満たす場合にのみ、車両の一部を隣接車線へ進入させる方法によって前方障害物へ対応することを認める。

• 通常の車線変更制御を開始できないこと
  例：現在の交通流の制約、隣接車線が利用できない場合

• 車内ユーザー及びORUに不合理な安全リスクを生じさせないこと

b）この対応方法が車内ユーザー及びORUを危険にさらさず、さらに以下を満たすこと。

1）道路境界及びORUとの間に十分な横方向・縦方向距離を確保すること。

2）カーブの曲率によって生じる横加速度を除き、この対応方法によって追加的に生じる横加速度の目標値を1 m/s²以下とすること。

3）ADSが車両を制御して車線境界線を1 m超えて横断する場合、B.1.2.3に定める後方安全距離評価の要求を満たすこと。

B.1.1.5

ADSは作動状態において、道路、道路施設及び気象環境に適応するため、車両の走行経路及び走行速度を合理的に計画・制御しなければならない。

B.1.1.6

ADSは作動状態において、衝突を回避するため、前方で停止しているORU又は通行を妨げている車線の手前で、車両を完全に停止させる能力を備えなければならない。

B.1.1.7

ADSは作動状態において、以下を含むがこれらに限定されない衝突リスクを検知し、車内ユーザー及びORUへの安全リスクを低減するため合理的な制御方策を実行しなければならない。

• 前方車両の減速

• 車両の割込み

• 突然出現する障害物

B.1.1.8

前方車両の割込み、遮蔽物のない状況での歩行者横断等について、ADSのDDT実行能力は、少なくとも、運転タスクを担当している資格を有し、かつ注意を払っている運転者がリスクを最小化する水準に達していなければならない。

B.1.1.9

自車線内の前方に逆走する他車両が存在する場合、ADSは、潜在的な衝突による影響の軽減を目的とした合理的な制御方策によって対応しなければならない。

B.1.2　車線変更制御要求

B.1.2.1　一般要求

B.1.2.1.1

ADSが実行する車線変更制御は、車内ユーザー及びORUに不合理な安全リスクをもたらしてはならず、以下を満たさなければならない。

a）ADSが計画した車線変更制御経路上において、車線変更制御によってORUと衝突しないこと。

b）ADSが実行する車線変更制御が、ORUにとって予測可能であり、安全に対応できるものであること。

B.1.2.1.2

ADSによる車線変更制御の完了を、正当な理由なく遅延させてはならない。

B.1.2.1.3

ADSは、対応する方向指示器の点灯及び消灯を合理的に制御できなければならない。

B.1.2.1.4

ADSはB.1.2.3に従って後方安全距離を評価しなければならず、その評価には自車のあらゆる減速又は加速挙動を含めなければならない。

B.1.2.1.5

車線変更制御の完了時に後方車両との十分な安全距離がない場合、ADSは車線変更制御完了後、少なくとも2秒間は減速度を増加させてはならない。

ただし、以下のいずれかの場合を除く。

a）切迫した衝突リスクを回避又は軽減するため、かつ同時に本規格のその他の要求を満たすために必要な場合。

例：

• 新たな道路速度制限へ適合する

• 前方車両との十分な安全距離を維持する

注： 「切迫した衝突リスク」とは、ADSが5 m/s²未満の減速度指令では車両とORU、道路施設又は障害物との衝突を回避できない状況をいう。

b）MRM実行中に、目標停止区域へ到達するため減速度を増加させる必要がある場合。

B.1.2.1.6

ADSは作動状態において、以下のいずれかの条件を満たさない場合、通常車線変更制御を開始してはならない。

a）ADSがB.3.1の要求に適合する知覚能力を備えていること。

b）ADSによる車線変更制御の安全な実行に影響を与える機能失陥が存在しないこと。

c）目標車線内に十分な利用可能スペースが存在する、又はまもなく存在すること。

B.1.2.1.7

ADSによる通常車線変更制御では、車両が二つの車線の間で停止する状態とならないことを目標としなければならない。

それが回避できない場合、例えば周囲の交通流による場合には、適切な時点で車線変更を継続して完了するか、元の車線へ戻らなければならない。

B.1.2.1.8

通常車線変更制御について、B.1.2.1.1～B.1.2.1.7を満たした上で、以下のいずれかの条件を満たさない場合、ADSは通常車線変更制御を開始してはならない。

a）明確な車線変更理由が存在すること。

例：

• ナビゲーション経路に沿って走行するため

• 交通効率を高めるため

• 衝突リスクを回避するため

b）目標車線が通行可能であること。

B.1.2.1.9

MRM車線変更制御については、B.1.2.1.1～B.1.2.1.5を満たした上で、以下の要求を満たさなければならない。

a）車線変更制御を開始する前に、必要に応じて車速を制御し、目標車線を走行する他車両に適応させること。

b）以下のいずれかの場合を除き、MRM開始後3秒以内には車線変更制御を開始しないこと。

1）最小リスク化を図る目標停止区域へできるだけ速やかに到達する必要がある場合。

例：

• 前方で緊急車線が終了する

• ADS又は車両に機能失陥が発生した

2）当該車線変更制御のリスクが、通常車線変更制御を実行する場合と同等である場合。

B.1.2.2　車線変更実行段階

B.1.2.2.1

車線変更制御を開始した後、ADSは、車線変更実行段階における車両の横方向運動を連続的に維持することを目標としなければならない。

B.1.2.2.2

車線変更実行段階において、カーブの曲率によって生じる横加速度を除き、ADSは、車線変更制御によって追加的に1 m/s²を超える横加速度を生じさせないことを目標としなければならない。

B.1.2.2.3

目標車線の関連領域、少なくとも**PVPA（潜在的車両存在領域）**が、車線変更実行段階において他車によって占有されないと予測される場合にのみ、ADSは車両を車線変更実行段階へ移行させなければならない。

例：自車の隣接車線に、自車の軌跡と衝突する車線変更を意図する他車が存在しない場合。

注： PVPAとは、その領域内にADSによる車線変更制御に関係する他車両が存在する可能性のある領域であり、図B.1のC-D-F-Eで囲まれた領域をいう。

図B.1におけるC線及びD線の位置は、ADS搭載車両の走行速度によって変化する。

図B.1　PVPA模式図の記号

A：ADS搭載車両の最前端位置を通る平行線。

B：ADS搭載車両の最後端位置を通る平行線。

C：ADS搭載車両の進行方向に垂直な線。ADS搭載車両の最前端から測定し、セーフティケースに記載された安全距離だけ前方にある車両の後端位置を示す。

D：ADS搭載車両の進行方向に垂直な線。ADS搭載車両の最後端から測定し、B.1.2.3で評価する車線変更時の後方安全距離の限界距離にある後方車両の前端位置を示す。

E：ADS搭載車両の進行方向に平行な線で、非目標車線側のADS搭載車両側面外郭位置を示す。

F：ADS搭載車両の進行方向に平行な線で、目標車線のさらに外側にある車線の遠端側車線境界線を示す。目標車線の外側に別の車線がない場合は、目標車線自体の遠端側車線境界線をいう。

B.1.2.2.4

車線変更実行段階を完了できず、交通条件が許容する場合、ADSは車両を元の車線へ戻さなければならない。

B.1.2.2.5

通常の車線変更実行段階については、B.1.2.2.1～B.1.2.2.4の要求を満たした上で、ADSは、衝突する軌跡上にある他車両との衝突を引き起こしてはならない。

B.1.2.2.6

MRM中の車線変更実行段階については、B.1.2.2.1～B.1.2.2.4に加え、以下を満たさなければならない。

a）ORUへ事前に通知するため、対応する方向指示器を点灯し、ハザードランプの代わりとして使用すること。

b）車線変更実行段階を完了した後、速やかに方向指示器を消灯し、ハザードランプを再び点灯すること。

B.1.2.3　後方安全距離評価要求

B.1.2.3.1　一般要求

B.1.2.3.1.1

ADSは、車線変更制御によって目標車線を後方から接近する車両に不合理な減速を強いることがない場合にのみ、車線変更制御の開始を許可しなければならない。

さらに以下を満たさなければならない。

a）通常車線変更制御

ADSは、車線変更によって目標車線を後方から接近する車両を減速させないことを目標としなければならない。

特に緊急の車線変更需要がない場合、例えば前方の低速車を追い越すための車線変更では、この目標を適用する。

ただし、B.1.2.1.6 a）に関連して車線変更を実行する必要がある場合は、車線変更実行段階へ入る時点で、目標車線を後方から接近する車両に3 m/s²を超える減速度での制動を強いてはならず、さらに以下のいずれかを満たさなければならない。

1）ADSによる後方安全距離評価がB.1.2.3.2の要求を満たす。

2）車両メーカーがADSの後方安全距離評価方策について、その合理性及び安全性の検証を含めて説明する。

b）MRM車線変更制御

車線変更実行段階へ入る時点で、ADSは、目標車線を後方から接近する車両に3.7 m/s²を超える減速度での制動を強いないことを目標とし、さらに以下のいずれかを満たさなければならない。

1）ADSによる後方安全距離評価がB.1.2.3.3の要求を満たす。

2）車両メーカーがADSの後方安全距離評価方策について、その合理性及び安全性の検証を含めて説明する。

B.1.2.3.1.2

通常車線への車線変更制御中にADSが車両を減速させる場合、その減速挙動を、後方接近車両との安全距離評価に含めなければならない。

以下の場合を除き、ADSが発する減速度指令は2 m/s²を超えてはならない。

• 切迫した衝突リスクを回避又は軽減する場合

• MRM実行中、目標停止区域へ到達するために必要な場合

B.1.2.3.2　通常車線変更制御における後方安全距離評価

B.1.2.3.2.1

ADSが目標車線上の後方接近車両を検知した場合、自車の目標車線側に最も近い前輪外側が目標車線境界線の外側に接触してからA秒後以降、以下を確保しなければならない。

• 後方接近車両に3 m/s²を超える減速度での制動を強いないこと

• 後方接近車両との縦方向の時間間隔が常に1秒以上であること

Aは以下のいずれかとする。

a）自車の目標車線側前輪外側が車線境界線外側へ接触する前の横移動中に、ADSが後方接近車両の全幅を少なくとも1秒間継続して検知していた場合：

A＝0.4秒

b）a）の条件を満たさない場合：

A＝1.4秒

B.1.2.3.2.2

ADSが目標車線上の後方接近車両を検知していない場合でも、B.1.2.3.2.1に基づいて後方安全距離を評価しなければならず、以下を仮定する。

a）後方接近車両と自車との距離は、ADSが現在実際に有する後方検知範囲の限界と等しい。

b）後方接近車両の速度は、道路最高速度制限より30 km/h高い。

c）自車の横移動中に、ADSが後方接近車両の全幅を少なくとも1秒間継続して検知しているものとする。

B.1.2.3.2.3

ADSが目標車線に、自車と同速又は自車より低速の後方車両を検知した場合、車線変更実行段階において、自車の車体後端と後方車両の車体前端との縦方向距離を、後方車両が1秒間に走行する距離以上に維持しなければならない。

B.1.2.3.3　MRM車線変更制御における後方安全距離評価

B.1.2.3.3.1

ADSが目標車線に後方接近車両を検知した場合、自車の目標車線側に最も近い前輪外側が目標車線境界線外側へ接触してからA秒後以降、ADSは以下を目標としなければならない。

• 後方接近車両に3.7 m/s²を超える減速度での制動を強いないこと

• 自車と後方接近車両との縦方向時間距離を常にB秒以上に維持すること

A及びBは以下による。

a）A

1）以下のすべてを満たす場合：

• 車線境界線を越える前に、対応する方向指示器を少なくとも3秒間継続して点灯している

• 自車の横方向移動が少なくとも1秒間継続している

• ADSが後方接近車両の全幅を検知している

A＝0秒

2）自車が車線境界線外側へ接触する前の横移動中に、ADSが後方接近車両の全幅を少なくとも1秒間継続して検知していた場合：

A＝0.4秒

3）1）又は2）を満たさない場合：

A＝1.4秒

b）B

1）目標車線が、より低い速度制限の車線又は路肩である場合：

B＝0.5秒

2）その他の場合：

B＝1秒

B.1.2.3.3.2

ADSが目標車線上の後方接近車両を検知していない場合でも、B.1.2.3.3.1に従って後方安全距離を評価し、以下を仮定しなければならない。

a）後方接近車両と自車との距離は、ADSの現在の実際の後方検知範囲限界と等しい。

b）後方接近車両の速度は、道路最高速度制限より30 km/h高い。

c）目標車線が緊急車線又は路肩の場合、車線変更実行段階開始時の後方接近車両速度について、

• 80 km/h

• 自車速度＋40 km/h

の低い方とする。

d）自車の横方向移動中、ADSが後方接近車両の全幅を少なくとも1秒間継続して検知しているものとする。

B.1.2.3.3.3

ADSが目標車線に、自車と同速又は自車より低速の後方車両を検知した場合、車線変更実行段階において、自車の車体後端と後方車両の車体前端との縦方向距離を、後方車両が0.7秒間に走行する距離以上に維持しなければならない。

B.1.3　緊急衝突回避制御要求

B.1.3.1　一般要求

B.1.3.1.1

切迫した衝突リスクが存在する場合、ADSは緊急衝突回避制御を実行しなければならない。

注1： 緊急衝突回避制御には通常、緊急制動又は緊急操舵等が含まれる。

注2： ADSが5 m/s²を超える制動減速度指令を発する場合、緊急衝突回避制御とみなす。

B.1.3.1.2

車両の制動又は操舵性能に影響を与える機能失陥が発生した場合、緊急衝突回避制御の実行には、車両に残された制動又は操舵能力を含めなければならない。

B.1.3.1.3

ADSがB.1.3.2に従って車線境界線を越える衝突回避制御を実行する場合を除き、横方向の衝突回避制御中に車両が車線境界線を越えてはならない。

横方向の衝突回避制御が完了した後、ADSは車両を安定した運動状態へ復帰させることを目標としなければならない。

B.1.3.1.4

以下の場合を除き、ADSが実行する緊急衝突回避制御を途中で終了してはならない。

• 切迫した衝突リスクが解消した場合

• フォールバックユーザーによってADSが解除された場合

また、以下を満たさなければならない。

a）切迫した衝突リスクが消失したことによって緊急衝突回避制御を終了した場合、ADSは引き続き作動状態を維持すること。

b）緊急衝突回避制御によって車両が停止状態となった場合、ADSはハザードランプを点灯すること。

車両が再び発進した場合、ADSはハザードランプを消灯すること。

B.1.3.2　車線境界線を越える衝突回避制御要求

B.1.3.2.1

B.3.1に規定する知覚検知範囲内に衝突リスクが存在する、又は発生しようとしているものの、まだ切迫した衝突リスクの水準には達していない場合、ADSは、車線境界線を越える衝突回避制御を実行しないことを目標としなければならない。

B.1.3.2.2

車線境界線を越える衝突回避制御がADSによる緊急衝突回避制御の一部である場合、ADSは、その制御による車内ユーザー及びORUの安全性が、制動によって切迫した衝突リスクを回避する場合の安全性を下回らないことを確保しなければならない。

B.1.3.2.3

ADSは、以下の条件をすべて満たす場合に限り、切迫した衝突リスクに対して車線境界線を越える衝突回避制御を実行しなければならない。

a）前方、側方及び後方の交通状況を十分に検知していること。

b）車線境界線を越えることによる安全リスクを評価できること。

c）車線境界線を越える側の隣接車線にいる他車両へ、不合理な減速を強いることがないことを確保すること。

B.1.3.2.4

ADSは、車線境界線を越える衝突回避制御の実行中、その軌跡上でORUとの衝突を引き起こしてはならない。

B.1.3.2.5

ADSの運動計画上、車線境界線を越える意図がある場合、ORUへ通知するため、対応する方向指示器を点灯しなければならない。

B.1.4　介入要求プロセスの要求

B.1.4.1

ADSは、介入要求を発するための明確なトリガー条件を備えなければならない。

またADSは作動状態において、介入要求を発する必要があるすべての状況を識別できなければならない。

B.1.4.2

介入要求を発するタイミングは、フォールバックユーザーが車両を安全に引き継ぐための十分な時間を確保するものでなければならず、少なくとも以下を満たさなければならない。

a）計画引継ぎ事象について、フォールバックユーザーが引継ぎを行わなかった場合でも、MRMによって計画引継ぎ事象が発生する前に車両を停止できるよう、ADSは適切な時点で介入要求を発すること。

b）非計画引継ぎ事象について、ADSはその事象を識別した時点で速やかに介入要求を発すること。

注： 非計画引継ぎ事象とは、ADSが事前には認識していなかったものの、介入要求を発する必要がある事象をいう。例えば悪天候への遭遇等。

c）ADSがDDTを安全に実行する能力へ影響する機能失陥について、ADSはその機能失陥を検知した時点で速やかに介入要求を発すること。

d）B.2.1.1 a）～h）のいずれかの条件を満たさなくなった場合、本規格に別段の規定がない限り、ADSは適切な時点で介入要求を発すること。

B.1.4.3

ADSが通常車線変更制御能力を備え、かつADSが車線変更制御中に介入要求を発することを事前に認識している場合、ADSはその車線変更制御を開始してはならない。

ただし、以下へ安全に対応するための車線変更を除く。

• 道路施設

• 道路交通標識

• 道路標示

例：

• 工事による迂回

• 前方で車線数が減少する場合

ADSは、通常車線変更制御が介入要求期間の一部とならないことを目標としなければならない。

B.1.4.4

セーフティケースに記載された特殊な状況を除き、介入要求を発している間、ADSは車両を停止させてはならない。

また、以下を満たさなければならない。

a）セーフティケースに記載された特殊な状況に従ってADSが車両を停止状態に維持する場合、速やかにハザードランプを点灯する。

b）介入要求の発出中、介入要求を発してから遅くとも4秒後には、B.2.3.1 c）の要求に従って介入要求を強化し、その強化状態を介入要求が終了するまで維持する。

注1： セーフティケースに記載される特殊な状況には、例えば前方に車両の走行継続を妨げる他車両又は障害物が存在する場合がある。

注2： 介入要求の発出中、ADSは安全走行を確保するため車速を低下させる場合がある。

B.1.4.5

介入要求を終了できるのは、以下の場合に限る。

• ADSが解除された場合

• MRMを実行する場合

さらに以下を満たさなければならない。

a）介入要求を発してからMRM実行によって介入要求を終了するまでの時間は、フォールバックユーザーに十分な引継ぎ時間を与えるため、10秒以上とする。

b）ADS重大機能失陥又は車両重大機能失陥が発生した場合、ADSは介入要求を発することなく、直接MRMを実行することを認める。

B.1.5　MRM要求

B.1.5.1

MRM実行中にADSが手動で解除された場合を除き、MRMによって車両をMRCに到達させなければならない。

B.1.5.2

MRM実行中、セーフティケースに記載された特殊な状況を除き、ADSは4.0 m/s²以下の減速度指令によって車両を減速させなければならない。

注： 特殊な状況には、例えば以下がある。

• ADS重大機能失陥

• 車両重大機能失陥

• 切迫した衝突リスクへの対応

B.1.5.3

MRMを実行する場合、ハザードランプを点灯し、その状態を維持しなければならない。

車線変更制御中は、B.1.2.2.6に従ってハザードランプを合理的に使用しなければならない。

B.1.5.4

ADSが解除された場合、又はADSによって車両がMRCへ到達した場合を除き、ADSはMRMを終了してはならない。

B.1.5.5

車両がMRCへ到達したことによってMRMが終了した後は、その後ADSが解除されたことを理由としてハザードランプを消灯してはならない。

B.2　ヒューマン・マシン・インタラクション

B.2.1　作動及び解除

B.2.1.1

運転者が作動操作を実行し、かつ以下のすべての条件を満たす場合を除き、ADSを作動させてはならない。

a）運転者が運転席に座り、シートベルトを着用していること。

b）運転者がDDTを実行する能力を備えていること。

c）ADSの運行に影響を与える機能失陥が存在しないこと。

d）車両に搭載されたDSSADが利用可能な状態にあり、かつその記憶領域がロック事象によって満杯になっていないこと。

e）気象環境及び道路施設がADSの運行を許容していること。

f）ADSの自己診断確認が完了していること。

g）車両が、ADSの運行に影響を与えるソフトウェアアップデートを実行中でないこと。

h）a）～g）以外に、セーフティケースに記載されたその他のODCを満たしていること。

注： L3自動駐車機能から、高速道路及び／又は都市快速路に適用するL3自動運転機能への切替を認める場合、a）～h）の条件を満たしていれば、運転者による作動操作を行わずにADSを作動させる場合がある。

B.2.1.2

以下のいずれかを満たす場合、ADSは解除方策を実行しなければならない。

a）フォールバックユーザーが専用操作方式によってADSを解除する。

b）フォールバックユーザーがB.2.2.1に定める方法で横方向運動制御へ介入する。

c）フォールバックユーザーがB.2.2.3又はB.2.2.4に定める方法で縦方向運動制御へ介入し、かつステアリングホイールを握っている。

d）a）～c）以外で、セーフティケースに記載されたフォールバックユーザーの操作によってADSが解除される。

注1： 緊急衝突回避制御の実行中は、ADSの解除を、切迫した衝突リスクが解消するまで延期する場合がある。

注2： 車両重大機能失陥又はADS重大機能失陥が発生した場合、ADSはセーフティケースに記載されたその他の安全な解除制御方策を実行する場合がある。

注3： ADS解除方策は、B.2.2.2で確認するフォールバックユーザーの注意状態と関連付けられる場合がある。フォールバックユーザーが注意を払っていない場合、注意が回復するまでADSの解除を延期する場合がある。

B.2.1.3

B.2.1.2 c）の「フォールバックユーザーがステアリングホイールを握っている」という条件について、車両メーカーがフォールバックユーザーによる横方向運動の制御を確認する別の方法を備えている場合、セーフティケースに記載しなければならない。

B.2.1.4

ADSは、B.2.1.2に規定する以外のフォールバックユーザーの操作を理由として解除されてはならない。

B.2.1.5

いかなる解除についても、B.2.3.2.2に従ってフォールバックユーザーへ通知しなければならない。

B.2.2　介入

B.2.2.1　操舵への介入

フォールバックユーザーによる操舵制御への介入が、セーフティケースに記載された、誤使用防止のための合理的な閾値を超えた場合、フォールバックユーザーから入力された操舵制御を実行しなければならない。

この閾値には以下を含めなければならない。

• 特定の力又はトルク

• 対応する持続時間

また、この閾値はB.2.2.2で確認するフォールバックユーザーの注意状態と関連付け、セーフティケースに記載しなければならない。

注1： フォールバックユーザーによる操舵介入が切迫した衝突リスクを生じさせる場合、ADSは、セーフティケースに記載された方法によって、当該介入が制御へ与える影響を弱め又は抑制する場合がある。

注2： 車両重大機能失陥又はADS重大機能失陥が発生した場合、ADSは、セーフティケースに記載されたその他の安全な操舵介入応答方策を実行する場合がある。

B.2.2.2　注意状態の検知

ADSは、フォールバックユーザーが注意を払っているかどうかを検知しなければならない。

以下のいずれにも該当しない場合、注意を払っているものとみなしてはならない。

a）フォールバックユーザーが前方道路を注視していることを確認した場合。

b）フォールバックユーザーが後写鏡を注視していることを確認した場合。

c）フォールバックユーザーの頭部運動が主として運転タスク関連領域へ向いていることを確認した場合。

d）セーフティケースに記載された、a）～c）と同等の安全性を有するその他の状況。

注： ADSによる注意状態検知には、a）～d）の行動及びその持続時間を含める場合がある。

B.2.2.3　制動への介入

フォールバックユーザーによる制動制御への介入によって、

• ADSが生じさせている減速度より大きな減速度が発生する場合、又は

• 何らかの制動によって車両を停止状態に維持する場合

フォールバックユーザーから入力された制動制御を実行しなければならない。

注1： フォールバックユーザーによる制動介入が切迫した衝突リスクを生じさせる場合、ADSは、セーフティケースに記載された方法に従い、その介入が制御へ与える影響を弱め又は抑制する場合がある。

注2： 車両重大機能失陥又はADS重大機能失陥が発生した場合、ADSは、セーフティケースに記載されたその他の安全な制動介入応答方策を実行する場合がある。

B.2.2.4　加速への介入

フォールバックユーザーによる加速制御への介入を実行する場合、その結果としてADSが本規格の要求に適合しなくなることがあってはならない。

B.2.3　システム状態通知

B.2.3.1　一般要求

ADSは、フォールバックユーザーに以下の情報を通知しなければならない。

視覚信号は適切な大きさ及びコントラストを備え、音響信号は十分な音量があり、明瞭でなければならない。

a）B.2.3.2で定義するADSの状態。

b）ADS作動状態において、DDTの実行に影響するあらゆる故障について、少なくとも視覚信号によって通知する。

c）強化前の介入要求について、視覚信号に加えて、音響信号及び／又は触覚信号によって通知する。

介入要求を発してから遅くとも4秒後には、以下を満たさなければならない。

1）介入要求を強化し、介入要求が終了するまで強化状態を維持する。

2）車両が停止状態でない場合、強化した介入要求に、連続又は断続的な触覚通知を追加する。

d）MRM実行中は、視覚信号に加え、音響信号及び／又は触覚信号で通知する。

e）緊急衝突回避制御の実行中は、視覚信号によって通知する。

f）車線変更制御の実行中は、少なくとも視覚信号によって通知する。

注： L3自動駐車機能と、高速道路及び／又は都市快速路に適用するL3自動運転機能との切替を許容する場合、切替時の状態通知が同一となる場合がある。

B.2.3.2　システム状態

B.2.3.2.1　作動状態の通知

B.2.3.2.1.1

自動運転機能が作動状態にある場合、少なくとも専用の視覚信号によって、自動運転機能が作動状態にあることをフォールバックユーザーへ継続的に通知しなければならない。

視覚信号は、フォールバックユーザーの車両前方への直接視線の近傍に配置し、容易に認識できなければならない。

例：

• メーターパネル

• ステアリングホイール

注1： 視覚通知には、「A」又は「AUTO」の文字を伴うステアリングホイール又は車両のシンボルを用いる場合がある。

注2： 介入要求又はMRM実行中は、注1の表示を介入要求表示へ置き換える場合がある。

B.2.3.2.1.2

作動状態を示す視覚信号は、自動運転機能が解除されるまで継続しなければならない。

B.2.3.2.2　解除時の状態通知

自動運転機能が作動状態から非作動状態へ解除された場合、少なくとも以下の両方によって、自動運転機能が解除されたことをフォールバックユーザーへ通知しなければならない。

• 視覚信号

• 音響信号

注1： フォールバックユーザーによる引継ぎによって自動運転機能が解除された場合は、視覚信号のみで通知する場合がある。

注2： L3自動駐車機能と、高速道路及び／又は都市快速路に適用するL3自動運転機能との切替を認める場合、切替時に解除通知を発しない場合がある。

B.2.3.2.3　介入要求及びMRMの状態通知

B.2.3.2.3.1

介入要求中及びMRM実行中、ADSは、フォールバックユーザーに対して車両を引き継ぐよう、直感的かつ明確な方法で通知しなければならない。

表示シンボルには、両手とステアリングホイールを示す図形情報を含め、さらに追加の説明及び警告情報を付加しなければならない。

規格では、図B.2として介入要求表示シンボルの例を示している。

B.2.3.2.3.2

MRMの実行を開始した場合、通知信号の特性を変更し、フォールバックユーザーによる引継ぎの緊急性を強調しなければならない。

B.3　知覚システム

B.3.1　一般要求

B.3.1.1

ADSの知覚システムは、少なくとも以下の領域、すなわち図B.3のB-D-F-Gで囲まれた領域における、

• 道路前方の幾何形状

• 車線境界線等の走行環境

• 車両、歩行者等の交通動態

を検知できなければならない。

その領域は以下を満たす。

a）前方検知範囲（B.3.2参照）から後方検知範囲（B.3.4参照）までをカバーすること。

b）車両の全長にわたり、ADS搭載車両の中心線から左右それぞれ少なくとも9 mまで延びる領域をカバーすること。

注： 検知範囲とは、車両の使用寿命中、時間経過及び使用によって知覚システム構成部品の性能が低下することも考慮したうえで、ADSが対象物、例えば車両や歩行者等を確実に検知し、それに基づいて制御信号を生成できる距離をいう。

図B.3　車線変更制御能力を備える自動運転機能の知覚検知範囲模式図

記号は以下を示す。

A：ADS搭載車両の最前端位置を通る平行線。

B：ADS搭載車両の知覚システムの前方検知範囲を示す平行線。

C：ADS搭載車両の最後端位置を通る平行線。

D：ADS搭載車両の知覚システムの後方検知範囲を示す平行線。

E：ADS搭載車両の中心線。

F：前方から後方までの左側側方検知範囲を示す平行線で、Eから少なくとも9 m離れた位置。

G：前方から後方までの右側側方検知範囲を示す平行線で、Eから少なくとも9 m離れた位置。

B.3.1.2

ADSは、環境条件によって知覚システムの検知範囲が低下したことを検知し、その低下を補償するための制御方策を実行しなければならない。

例えば以下がある。

• ADSを作動させない

• 介入要求を発する

• 視界が極端に悪い場合に車速を低下させる

B.3.1.3

トレーラーを連結した状態でもADSを作動できる車両については、ADSの知覚能力は、連結されたトレーラーの長さを考慮した知覚要求をカバーしなければならない。

B.3.2　前方検知範囲要求

B.3.2.1

最高設計運行速度が60 km/h以下のADSについて、前方検知範囲は少なくとも50 mでなければならない。

注： 前方検知範囲は、ADS搭載車両の最前端から測定する。

B.3.2.2

ADSの最高設計運行速度を60 km/h超とする場合、以下の要求を同時に満たさなければならない。

a）車両が5 m/s²以上の減速度能力を備えていること。

b）前方検知範囲が表B.1に対応する最小前方検知範囲に達していること。

表B.1　ADS最高設計運行速度と最小前方検知範囲

最高設計運行速度：最小前方検知範囲
0～60 km/h：50 m
70 km/h：50 m
80 km/h：60 m
90 km/h：75 m
100 km/h：100 m
110 km/h：110 m
120 km/h：130 m

注： 表に記載されていない値については、線形補間を用いる。

B.3.2.3

特定の状況、例えば滑りやすい道路において、

• 車両が5 m/s²の減速度を達成できない場合、又は

• ADSが最小前方検知範囲を確保できない場合

ADSは、実際の検知範囲及び実際の減速能力に応じて最高運行速度を調整しなければならない。

これにより、ADSは最高運行速度で走行している場合でも、前方に停止しているORU又は通行を妨げる車線の手前で車両を完全に停止させ、衝突を回避できる能力を確保しなければならない。

B.3.2.4

ADSの前方検知範囲は、ADS搭載車両の中心線から左右それぞれ少なくとも9 mまでの領域をカバーしなければならない。

図B.3のA-B-F-Gで囲まれた領域に相当する。

B.3.3　側方検知範囲要求

ADSの側方検知範囲は、ADS搭載車両の中心線から左右それぞれ少なくとも9 mまでの領域をカバーしなければならない。

図B.3のA-C-F-Gで囲まれた領域に相当する。

B.3.4　後方検知範囲要求

B.3.4.1

ADSの後方検知範囲は、B.1.2.3に定める要求を満たさなければならない。

注： 後方検知範囲は、ADS搭載車両の最後端を起点として測定する。

B.3.4.2

ADSの後方検知範囲は、ADS搭載車両の中心線から左右それぞれ少なくとも9 mまでの領域をカバーしなければならない。

図B.3のC-D-F-Gで囲まれた領域に相当する。

附録C

（規範性）

レベル4自動運転機能の具体的技術要求

C.1　DDTの実行

C.1.1　一般要求

C.1.1.1

ADSは作動状態において車両を車線内で走行させ、目的なくいかなる車線境界線も越えないよう確保しなければならない。

ここで車線境界線を越えるとは、前輪外側縁が車線境界線外側縁を越えることをいう。

ADSは、ORUへの干渉を回避するため、車線内で車両の安定した横方向及び縦方向運動を維持することを目標としなければならない。

C.1.1.2

ADSは、道路が以下のような理由で一時的に変更された場合にも、合理的な制御方策によって対応する能力を備えなければならない。

• 道路工事

• 交通規制等

C.1.1.3

ADSは作動状態において、以下の衝突リスクを識別し、合理的な制御方策を実行して、車内ユーザー及びORUへの安全リスクを最小化しなければならない。

a）以下に起因するリスク。

• 前方車両の減速

• 隣接車両の割込み

• 逆走車両

• 突然出現する障害物

b）歩行者、自転車利用者等の脆弱な道路利用者。

c）種類を識別できない対象物。

C.1.1.4

車両が、乗客の立席又は乗員拘束装置を使用しない乗車を認める場合、セーフティケースに記載された特殊な状況を除き、ADSが指令する水平方向の加速度及び減速度は、いずれも2.4 m/s²以下でなければならない。

また、水平方向加速度及び減速度の変化率は、いずれも5.0 m/s³以下でなければならない。

注： 水平方向の加速度及び減速度とは、横方向及び縦方向を総合して計算した値をいう。

C.1.1.5

ADSが遠隔支援に対応する場合、C.2の要求を満たさなければならない。

C.1.2　車線変更制御要求

ADSによる車線変更制御は、以下の要求を満たさなければならない。

• B.1.2.1

• B.1.2.2.1

• B.1.2.2.3

• B.1.2.2.4

C.1.3　緊急衝突回避制御要求

C.1.3.1

ADSが実行する緊急衝突回避制御は、以下の要求を満たさなければならない。

• B.1.3.1.1～B.1.3.1.3

• B.1.3.2

C.1.3.2

切迫した衝突リスクが解消した場合を除き、ADSが実行する緊急衝突回避制御を終了してはならない。

また、以下を満たさなければならない。

a）切迫した衝突リスクが消失したことにより緊急衝突回避制御が終了した場合、ADSは引き続き作動状態を維持すること。

b）緊急衝突回避制御の実行によって車両が停止状態となった場合、ADSはハザードランプを点灯すること。

車両が再発進した場合、ADSはハザードランプを消灯すること。

C.1.4　MRM要求

C.1.4.1

ADSがMRMを実行している間、セーフティケースに記載された特殊な状況を除き、ADSは4.0 m/s²以下の減速度指令によって車両を減速させなければならない。

注： 特殊な状況には、例えば以下がある。

• ADS重大機能失陥

• 車両重大機能失陥

• 切迫した衝突リスクへの対応

C.1.4.2

ADSがMRMを実行している間は、ハザードランプを点灯し、その状態を維持しなければならない。

MRM中に車線変更を行う場合、その車線変更実行段階では以下を満たさなければならない。

a）ORUへの事前通知として、対応する方向指示器を点灯し、ハザードランプの代わりに使用すること。

b）車線変更実行段階が完了したら、速やかに方向指示器を消灯し、再びハザードランプを点灯すること。

C.1.4.3

ADSがMRMを実行する原因となった事由が解消されたことを確認するまでは、ADSは車両をMRCから離脱させてはならない。

注： 確認方法には、例えば以下が含まれる場合がある。

• ADSによる自己診断

• 車内ユーザーによる確認（該当する場合）

• 遠隔確認（該当する場合）

C.2　遠隔支援

C.2.1　一般要求

C.2.1.1

ADSは、DDTを実行するために遠隔支援へ依存してはならない。

C.2.1.2

遠隔支援中であっても、ADSはすべてのDDTを独立して実行し、車内ユーザー及びORUに不合理な安全リスクを生じさせてはならない。

注： 運転席に座る車内ユーザーによる介入を許容するレベル4自動運転機能では、車内ユーザーによる車両の横方向及び／又は縦方向運動の制御がADSより優先される場合がある。

C.2.1.3

ADSは、走行環境に基づき、遠隔支援情報へ安全に応答しなければならない。

C.2.1.4

セーフティケースに記載された状況を除き、ADSは遠隔支援を開始してはならない。

注： 遠隔支援を開始する状況には、例えば以下がある。

• 車両が衝突した場合

• 車両が脱出支援を必要とする場合

• 車両及び／又はADSに機能失陥が発生した場合

C.2.2　通信要求

C.2.2.1

ADSは、遠隔支援の技術特性に適合した車両側安全方策を備えなければならない。

例： 遠隔プラットフォームのサーバーが故障した場合でも、ADSが車両の安全運行を確保するための安全方策を備える。

C.2.2.2

ADSは、遠隔支援に必要な通信状態を検知できなければならない。

例えば以下を含む。

• 信号強度

• ネットワーク遅延

• ネットワーク遅延のジッター等

通信状態が要求を満たさず、ADSによる遠隔支援の開始に失敗した場合、ADSは合理的な制御方策を実行し、車内ユーザー及びORUへの安全リスクを最小化しなければならない。

例えば、MRMを実行する等の方策をとる。

C.2.3　情報相互通信要求

C.2.3.1

ADSは、遠隔支援情報を適時に送信及び受信できなければならない。

C.2.3.2

ADSは、少なくとも以下の情報をアップロードする能力を備えなければならない。

a）車両状態情報。

例：

• 速度

• 車両の機能失陥

• 衝突等

b）ADS状態情報。

例：

• ADSの運行状態

• ADSの機能失陥等

c）車両周囲の環境情報。

例：

• 知覚対象物

• 道路状況等

d）遠隔支援情報の受信結果。

C.3　ヒューマン・マシン・インタラクション

C.3.1　一般要求

C.3.1.1

ユーザーが作動操作を行い、かつ以下のすべての条件を満たす場合を除き、ADSを作動させてはならない。

a）ADSの運行に影響を与える機能失陥が存在しないこと。

b）車両に搭載されたDSSADが利用可能な状態にあり、その記憶領域がロック事象によって満杯になっていないこと。

c）気象環境及び道路施設がADSの運行を許容していること。

d）ADSの自己診断確認が完了していること。

e）車両が、ADSの運行に影響を与えるソフトウェアアップデートを実行中でないこと。

f）計画された経路が、ODDで定める道路タイプの範囲を逸脱していないこと。

g）a）～f）以外に、セーフティケースに記載されたその他のODCを満たしていること。

注1： 「経路」とは、レベル4自動運転機能における出発地から目的地までの経路をいう。

注2： 自動駐車機能からレベル4自動運転機能（自動駐車機能を除く）への切替を認める場合、a）～g）の条件を満たしていれば、ユーザーによる作動操作なしにADSを作動させる場合がある。

C.3.1.2

ADSは、乗客に停車を要求する方法を提供しなければならない。

C.3.1.3

ADSは、車内ユーザーに行程に関する情報を提供しなければならない。

C.3.2　走行中に手動運転への解除を許容する自動運転機能

C.3.2.1　作動及び解除

C.3.2.1.1

車両の運転領域外に自動運転機能の作動操作装置が設置されている場合、手動運転中に運転席以外のユーザーがその作動操作を行ったときは、自動運転機能の作動前に運転者の確認を得なければならない。

C.3.2.1.2

以下のいずれかの場合を除き、車両が停止状態にないとき、レベル4自動運転機能を解除してはならない。

a）車両の制御権を車内ユーザーへ安全に移譲する場合。

b）レベル3自動運転機能へ安全に切り替える場合。

c）自動駐車機能へ安全に切り替える場合。

注1： 緊急衝突回避制御の実行中は、切迫した衝突リスクが解消するまでADSの解除を延期する場合がある。

注2： 車両重大機能失陥又はADS重大機能失陥が発生した場合、ADSは車両メーカーが宣言したその他の安全な解除制御方策を実行する場合がある。

C.3.2.1.3

車両の運転領域外に自動運転機能の解除操作装置が設置されている場合、運転席以外のユーザーがその操作装置を使って自動運転機能を手動運転へ解除するときは、ADSは、運転席に座っている車内ユーザーから運転者を務めることへの同意確認を得なければならない。

C.3.2.1.4

いかなる解除についても、C.3.2.3.2.3に従ってユーザーへ通知しなければならない。

C.3.2.2　介入

C.3.2.2.1　操舵介入

ADSが運転席に座っている車内ユーザーによる操舵制御への介入を許容する場合、その車内ユーザーによる介入が、誤使用防止のためにセーフティケースで定めた合理的な閾値を超えたとき、そのユーザーによる操舵入力を実行しなければならない。

閾値には以下を含めなければならない。

• 特定の力又はトルク

• 対応する持続時間

また、この閾値はC.3.2.2.2で確認する車内ユーザーの注意状態と関連付け、セーフティケースに記載しなければならない。

注1： 車内ユーザーによる操舵介入が切迫した衝突リスクを生じさせる場合、ADSはセーフティケースに記載された方法で、その介入による制御への影響を弱め又は抑制する場合がある。

注2： 車両重大機能失陥又はADS重大機能失陥が発生した場合、ADSはセーフティケースに記載された別の安全な操舵介入応答方策を実行する場合がある。

C.3.2.2.2　注意状態

ADSが運転席に座る車内ユーザーによる操舵制御への介入を許容する場合、ADSはその車内ユーザーが注意を払っているかを検知しなければならない。

以下のいずれにも該当しない場合、注意を払っているものとみなしてはならない。

a）前方道路を注視していることを確認した場合。

b）後写鏡を注視していることを確認した場合。

c）頭部運動が主として運転タスク関連領域へ向いていることを確認した場合。

d）セーフティケースに記載され、a）～c）と同等の安全性を持つその他の状態。

注： 注意状態の検知には、a）～d）の行動及びその持続時間を含む場合がある。

C.3.2.2.3　制動介入

ADSが運転席に座る車内ユーザーによる制動制御への介入を許容している場合で、

• ユーザーの制動介入によりADSが生じさせる減速度を上回る減速度が生じる場合、又は

• 何らかの制動によって車両を停止状態に維持する場合

その車内ユーザーの制動入力を実行しなければならない。

注1： 車内ユーザーの制動介入が切迫した衝突リスクを引き起こす場合、ADSは、その影響を弱め又は抑制する場合がある。

注2： 車両重大機能失陥又はADS重大機能失陥時には、セーフティケースに記載されたその他の安全な制動介入応答方策を実行する場合がある。

C.3.2.2.4　加速介入

運転席に座る車内ユーザーの加速制御への介入を実行する場合、その介入によってADSが本規格の要求に適合しなくなってはならない。

C.3.2.3　システム状態通知

C.3.2.3.1　一般要求

ADSは車内ユーザーへ以下の情報を通知しなければならない。

視覚信号は適切な大きさ及びコントラストを備え、音響信号は十分な音量で明瞭でなければならない。

a）C.3.2.3.2で要求するADS状態。

b）ADS作動状態において、ADSによるDDT実行へ影響するあらゆる故障について、少なくとも視覚信号によって通知する。

注： L4自動駐車機能とL4自動運転機能（自動駐車を除く）との切替を認める場合、切替時の状態通知が同一となる場合がある。

C.3.2.3.2　システム状態

C.3.2.3.2.1

自動運転機能が作動状態にある場合、少なくとも専用の視覚信号によって、自動運転機能が作動状態にあることを車内ユーザーへ継続して通知しなければならない。

注1： 視覚信号には、「A」又は「AUTO」を伴うステアリングホイール又は車両シンボルを使用する場合がある。

注2： MRM実行中は、注1の表示をMRM表示へ置き換える場合がある。

C.3.2.3.2.2

自動運転機能の作動状態を示す視覚信号は、自動運転機能が解除されるまで継続しなければならない。

C.3.2.3.2.3

自動運転機能が作動状態から非作動状態へ解除された場合、少なくとも以下の両方によって、自動運転機能が解除されたことを車内ユーザーへ通知しなければならない。

• 視覚信号

• 音響信号

注： L4自動駐車機能とL4自動運転機能との切替を認める場合、切替時に解除通知を行わない場合がある。

C.3.2.3.2.4

MRM実行中及びMRCにある間、ADSは少なくとも明確な視覚通知情報を発しなければならない。

C.3.3　走行中の手動運転への解除を許容しない自動運転機能

C.3.3.1　作動及び解除

C.3.3.1.1

走行中の作動に対応する自動運転機能について、車両の運転領域外に自動運転機能の作動操作装置が設置されている場合、手動運転中に運転席以外のユーザーがその操作装置を操作したときは、ADSは作動前に運転者の確認を得なければならない。

C.3.3.1.2

レベル4自動駐車機能へ安全に切り替える場合を除き、車両が停止状態にないとき、レベル4自動運転機能（自動駐車機能を除く）を解除してはならない。

C.3.3.1.3

ADSが手動運転又は整備等のモードへ移行するための解除操作装置を備える場合、その操作装置への入力には、車両が停止状態にある場合にのみ応答しなければならない。

C.3.3.2　システム状態通知

ADSは、車内ユーザーに以下の情報を通知しなければならない。

視覚信号は適切な大きさ及びコントラストを備え、音響信号は十分な音量で明瞭でなければならない。

a）C.3.2.3.2で要求されるADS状態。

b）車内ユーザーによる作動が許容される自動運転機能について、ADSが利用不能であるためユーザーの作動操作に応答できない場合、その旨を速やかかつ直感的に車内ユーザーへ通知する。

注： L4自動駐車機能とL4自動運転機能との切替を認める場合、切替時の状態通知が同一となる場合がある。

附録D

（規範性）

セーフティケース

D.1　システム記述

D.1.1　一般要求

車両メーカーはシステム記述を提供しなければならず、少なくともD.1.2及びD.1.3の内容を含めなければならない。

D.1.2　機能記述

D.1.2.1

システム記述には以下を含めなければならない。

a）ADSの意図した用途。

例：

• 個人用車両としての使用

• 都市タクシーフリートでの運行

• 貨物輸送サービス等

b）ADSの構成及び運行特性。これには各自動運転機能、その意図した用途及び当該機能の使用制限を含む。

c）各自動運転機能のODCをどのように定義しているか。また、GB/T 45312に従ってそのODCを説明すること。

d）自動運転機能の作動条件。

e）MRMを実行する条件。

f）自動運転機能の解除条件。

g）介入要求を発する条件（該当する場合）。

h）本附録以外で、セーフティケースへの記載を要求されるその他の関連内容。

D.1.2.2

システム記述では、ADSが相互作用することを想定して設計されたORUの種類を明確にしなければならない。

例：

• 歩行者

• 自転車利用者等

また、それらのORUとADSとの相互作用方策を説明しなければならない。

D.1.2.3

システム記述では、ADSが対象として設計されたユーザーを明確にし、そのユーザーとADSとの相互作用方策を説明しなければならない。

D.1.2.4

走行中に手動運転への解除を許容する自動運転機能について、システム記述は以下を説明しなければならない。

a）ADSがユーザーの視線をどのように監視し、その視線が運転タスク関連領域へ向いているとどのように判定するか。

b）5.2.2.3.3 b）を満たすため、当該領域への視線持続時間を判定する際にADSが使用する各パラメータ。

D.1.2.5

引継ぎ能力監視について、システム記述には以下を含めなければならない。

a）フォールバックユーザーのシートベルト監視方式及び判定方法。各監視方式の評価周期及び評価指標を説明すること。

b）フォールバックユーザーが運転席に座っているかどうかの監視方式及び判定方法。各監視方式の評価周期、評価指標及び閾値を説明すること。

c）フォールバックユーザーのDDT実行能力の監視方式及び判定方法。各監視方式の評価周期、評価指標及び閾値を説明すること。

D.1.2.6

ADSが遠隔支援を要求できる場合、システム記述は、この相互作用に関する方策及びプロセスを説明しなければならない。

D.1.2.7

システム記述は、自動運転機能について以下を行う方法を説明しなければならない。

• 作動

• 介入

• 引継ぎ

• 解除

D.1.2.8

システム記述は、自動運転機能が実現可能なMRCについて説明しなければならず、以下を含む。

a）MRMのプロセス。

b）MRCのリスク評価。

D.1.2.9

システム記述には以下の情報を含めなければならない。

a）識別可能なADS故障の一覧。

b）ADS自体以外で、その機能失陥によってADSがDDTを直接実行できなくなる他の車両システム又は部品の一覧。

D.1.2.10

システム記述は、自動運転機能が機能失陥状況へどのように応答するかを説明しなければならない。

D.1.3　システム構成及び原理

D.1.3.1

システム記述には、以下の概要を含めなければならない。

• ADSハードウェア構成部品及びその機能

• ソフトウェア構成要素及びその機能

• ADSと他の車両システムとの関係

具体的には以下を含む。

a）ブロック図及び／又は模式図

少なくとも以下を含む。

1）ハードウェア構成概要において、ADSハードウェア構成部品の配置を示す。

2）ブロック図及び／又は模式図にADS各構成部品のハードウェア識別子を組み込み、ハードウェア識別子とソフトウェア識別子との対応関係を示す一覧を提供する。

3）単一の部品、例えば制御ユニット内に統合されているにもかかわらず、図上では複数のモジュールとして示される機能については、単一のハードウェア識別子を使用する。

b）ADS及び関連車両システム

本規格への適合に関連するADSの構成部品又は機能、及びその他の車両システムの構成部品又は機能について、少なくとも以下を含む。

1）ADS構成部品又は機能と他の車両システムの構成部品又は機能との相互接続を示す。

具体的には、

• 電子伝送経路：回路図

• 空気圧・液圧伝達装置：配管図

• 機械的接続：配置模式図

によって示す。

2）ハードウェア・ソフトウェア構成概要、模式図及び／又はブロック図における伝送経路と、対応する機能概要、模式図及び／又はブロック図中の構成部品・システム間を伝送される信号との間に、明確な対応関係を持たせる。

3）信号の優先順位が性能又は安全に影響する場合、多重化データ伝送経路における信号の優先順位を明確にする。

c）以下の機能・内容を実現する方法

1）対象物及び事象の知覚。

2）意思決定及び計画。

3）遠隔方式によって提供される関連機能及び内容（該当する場合）。

4）情報表示又はユーザーインターフェース。

5）データ記録システム、例えばDSSAD。

6）構成部品及び／又は接続の冗長性（該当する場合）。

d）知覚システムを構成する各部品の取付条件

ハードウェア構成概要には、少なくとも以下を含めなければならない。

1）知覚システムを車両へ取り付ける場合の、

• 車内又は車上における部品位置

• 部品周辺の材料

• 周辺材料の寸法及び幾何形状

• 周辺材料の表面仕上げ

等。

2）ADS性能に重要となる取付仕様。

例：取付角度公差。

3）知覚システム各部品又は取付条件に変更があった場合、文書を更新すること。

D.1.3.2

システム記述は、センサー入力を含むすべてのADS ECU入力の一覧を提供し、それら入力の動作範囲を定義しなければならない。

また、

• 知覚入力とADS制御機能との関係

• ADSの挙動に対する潜在的影響

を説明しなければならない。

さらに、各センサーの公称範囲及びカバー領域を含めなければならない。

D.1.3.3

システム記述は、すべてのADS ECU出力の一覧を提供し、各シナリオにおいて、出力が、

• 車両を直接制御するのか

• 他の車両システムを介して制御するのか

を説明しなければならない。

さらに各変数の制御範囲及び制御アクチュエータの公称能力を定義しなければならない。

D.1.3.4

システム記述は、ADSがODCへの適合状況をどのように検知するか、及びどのように応答するかを説明しなければならない。

D.2　安全コンセプト

D.2.1　一般要求

D.2.1.1

車両メーカーは、安全コンセプトを文書化しなければならない。

文書には、6.1.3の活動によって特定されたADS関連リスクを含め、それらのリスクがどのように、

• 低減されたか

• 緩和されたか

• 受容されたか

を説明しなければならない。

D.2.1.2

車両メーカーは、ADSが非故障状態及び故障状態の双方において、機能コンセプト及び安全コンセプトを実現していることを証明しなければならない。

D.2.1.3

安全コンセプト文書は、以下を説明しなければならない。

• ADSの機能コンセプト

• 安全目標を実現するために策定した安全戦略

• 安全対策

• 開発プロセス

• 開発方法

これにより、ADSについて以下を証明する。

a）設計によって、非故障状態及び故障状態の双方で機能コンセプト及び安全コンセプトが実現されていること。

b）本規格で定める、非故障状態及び故障状態での性能要求を満たすこと。

c）開発プロセス及び方法が適切であること。

D.2.1.4

文書には、

• D.2.1.5で規定する提出文書

• D.2.1.6で規定する備査文書

を含めなければならない。

D.2.1.5　提出文書

車両メーカーは以下の文書を提出し、提出文書と実際の製品開発との整合性及びトレーサビリティについて自己宣言しなければならない。

a）危害分析及びリスク評価概要（D.2.2.1）。

b）受入基準及び妥当性確認目標概要（D.2.3）。

c）安全対策説明（D.2.4）。

d）車両レベル安全分析概要（D.2.5.2）。

e）システムレベル安全分析概要（D.2.5.4）。

f）機能安全の検証・妥当性確認計画及び結果概要（D.2.6.2）。

g）SOTIFの検証・妥当性確認計画及び結果概要（D.2.6.4）。

h）安全評価リリース報告概要（D.2.7）。

D.2.1.6　備査文書

車両メーカーは以下の関連文書を保有し、保管する文書について、

• 整合性

• トレーサビリティ

• 採用した安全戦略が車両の安全運行へ影響を与えないこと

を自己宣言しなければならない。

a）詳細な危害分析及びリスク評価。

b）詳細な車両レベル安全分析。

c）詳細なシステムレベル安全分析。

d）詳細な機能安全の検証・妥当性確認計画及び結果。

e）詳細なSOTIFの検証・妥当性確認計画及び結果。

f）その他の裏付け資料又はデータ（該当する場合）。

D.2.2　危害分析及びリスク評価

D.2.2.1　危害分析及びリスク評価概要

D.2.2.1.1

車両メーカーは、危害分析及びリスク評価概要を提出しなければならない。

このうち、

• 機能安全の危害分析及びリスク評価概要はD.2.2.1.2

• SOTIFの危害分析及びリスク評価概要はD.2.2.1.3

に適合しなければならない。

D.2.2.1.2

車両メーカーは、機能安全に関する危害分析及びリスク評価概要を提出し、以下を記述しなければならない。

• ADSの機能異常挙動

• 車両レベルの危害

• 自動車安全インテグリティレベル（ASIL）

• 安全目標

その結果は、少なくとも表D.1に示す車両危害及び対応する安全目標を含まなければならない。

表D.1　ADS関連危害に対する機能安全要求

1　非意図的な横方向運動

車両危害： 非意図的な横方向運動

安全目標：
自動運転機能の作動中、車両の非意図的な操舵、過大な操舵又は横方向不安定によって、ORU、道路インフラ、障害物等との衝突が生じることを回避する。

ASIL：D

安全尺度：

• 非意図的な横方向運動による横加速度変化が安全閾値を超えないこと。

• 横方向変位が安全閾値を超えないこと。

• ヨーレート変化が安全閾値を超えないこと。

• ステアリングホイール角変化が安全閾値を超えないこと。

• 操舵輪角変化が安全閾値を超えないこと。

2　非意図的な横方向運動制御の喪失

安全目標：
自動運転機能の作動中、車両の横方向運動制御を非意図的に喪失し、ORU、道路インフラ、障害物等との衝突が生じることを回避する。

ASIL：D

安全尺度：

• 横加速度変化

• 横方向変位変化

• ヨーレート変化

• ステアリングホイール角変化

• 操舵輪角変化

• 横方向運動制御を喪失している時間

が、それぞれ対応する安全閾値を超えないこと。

3　非意図的な減速

安全目標：
自動運転機能の作動中、非意図的又は過大な減速により、後方のORUから追突されることを回避する。

ASIL：B又はC

安全尺度：

• 非意図的減速による縦方向減速度又は縦方向速度変化が安全閾値を超えないこと。

• 縦方向変位変化が安全閾値を超えないこと。

4　非意図的な能動減速能力の喪失又は低下

安全目標：
自動運転機能の作動中、車両の減速能力が非意図的に喪失又は不足し、ORU、道路インフラ、障害物等との衝突が生じることを回避する。

ASIL：D

安全尺度：

• 縦方向減速度又は縦方向速度変化

• 縦方向変位変化

• 自車とORU、道路インフラ、障害物との距離変化

が安全閾値を超えないこと。

5　非意図的な加速

安全目標：
自動運転機能の作動中、非意図的又は過大な加速によって、ORU、道路インフラ、障害物等との衝突が生じることを回避する。

ASIL：D

安全尺度：

• 縦方向加速度又は縦方向速度変化が安全閾値を超えないこと。

• 縦方向変位変化が安全閾値を超えないこと。

6　非意図的な縦方向移動（停止位置から）

安全目標：
自動運転機能の作動中、停止状態から非意図的に縦方向移動し、脆弱な道路利用者、車両等のORUと衝突することを回避する。

ASIL：B又はD

安全尺度：

• 非意図的縦方向移動による縦方向変位変化が安全閾値を超えないこと。

7　非意図的な自動運転機能の作動

安全目標：
ODC条件を満たしていない場合に自動運転機能が作動すること、又はODC不適合を正しく識別できず機能が解除されないことにより、ORU、道路インフラ、障害物等との衝突リスクが生じることを回避する。

ASIL：B

安全尺度：

• 非意図的な自動運転機能の作動及び運行が、ODC範囲条件に関する安全閾値を超えないこと。

8　MRMの非意図的喪失又は誤作動

安全目標：
自動運転機能の作動中、MRMが非意図的に失われる、又は誤ったMRMが実行されることを回避する。

ASIL：B又はD

安全尺度：

• MRMの非意図的喪失又は誤作動による目標停止位置からの逸脱が安全閾値を超えないこと。

9　車内ユーザーの介入に応答しない

安全目標：
自動運転機能の異常によって、車両が車内ユーザーの介入へ応答しなくなることを回避する。

ASIL：D又はASILを割り当てない

安全尺度：

• 人による操舵介入に応答するために必要な操舵操作力が安全閾値を超えないこと。

• 人による制動介入に応答するために必要なブレーキペダル踏力又はストロークが安全閾値を超えないこと。

• 人による加速介入に応答するために必要なアクセルペダル踏力又はストロークが安全閾値を超えないこと（該当する場合）。

10　HMI通知の喪失、不足又は誤り

安全目標：
自動運転機能の異常によって、HMI通知が喪失、不足又は誤った状態となることを回避する。

ASIL：B

安全尺度：

HMI通知の喪失、不足又は誤りによって生じる以下の偏差が安全閾値を超えないこと。

• 音響通知の音量

• 振動強度

• 視覚通知の輝度

• 通知開始時刻

• 通知継続時間

11　非意図的な車両視認性の喪失、低下又は誤り

安全目標：
自動運転機能の作動中、

• 車両外部照明

• 表示灯

• ワイパー

• デフォッガー等

の機能が非意図的に喪失、低下又は誤動作し、視認性が失われることを回避する。

ASIL：A又はASILを割り当てない

安全尺度：

• 非意図的な車両照明・灯火の喪失、低下又は誤りによる、照明輝度、表示灯輝度及び点灯時間の偏差が安全閾値を超えないこと。

• 車内ユーザーの視界が非意図的に喪失、低下又は誤った状態となった場合、窓ガラスからの視認可能領域面積の偏差が安全閾値を超えないこと。

表D.1の注記

注a： 表に規定する車両危害、それに対応する安全目標、ASIL及び安全尺度は、システム機能及びODCの違いによって変化する場合があり、車両メーカーは実際の状況に応じて合理的に定義できる。

注b： 車両メーカーが表より高いASILを定義した場合は要求適合とみなす。外部対策が存在する場合、表のASILを合理的に引き下げることができるが、危害分析及びリスク評価で説明し、安全妥当性確認活動において当該外部対策の独立性及び有効性を検査する必要がある。

注c： 車両メーカーは、関連する車両危害について、安全尺度を定義しなければならない。例えば、加速度、速度、変位変化について、変化量、最大値、変化率等が所定の安全範囲内にあることを指標とする。製品特性に応じて表の一部又は全部を採用してもよく、その他の適切な尺度を採用してもよい。

注d： 項目3のASILは車両の減速能力に関連する。M1、N1カテゴリーはASIL C、M2、M3、N2、N3カテゴリーはASIL B又はCとする。

注e： 項目6について、高速道路及び／又は都市快速路のみで使用する自動運転機能はASIL B、その他の道路でも使用する自動運転機能はASIL Dとする。

注f： 項目8について、L3はASIL B、L4はASIL Dとする。

注g： 項目9について、車内ユーザーによる車両制御への介入を許容するADSはASIL D、介入を許容しないADSはASILを割り当てなくてもよい。

注h： 「通知」には、システム及び車両の安全関連作動状態、人への引継ぎ要求（L3のみ）、人による誤操作等に関する通知を含む。

注i： 項目11について、車内ユーザーの視界喪失防止ではL3はASIL A、L4はASILを割り当てなくてもよい。非意図的な車両外部照明の喪失・低下、表示灯の喪失・誤りについては、L3、L4ともASIL Aとする。

D.2.2.1.3

車両メーカーは、SOTIFに関する危害特定及び評価概要を提出しなければならない。

その結果は、少なくとも表D.1のうち適用される車両危害を含まなければならない。

D.2.2.2　詳細危害分析及びリスク評価

車両メーカーは、詳細な危害分析及びリスク評価を備査用として保有し、以下の基本情報を提供しなければならない。

• 企業名

• 文書名

• バージョン

• 状態

• 日付

• 保存場所等

D.2.3　受入基準及び妥当性確認目標概要

D.2.3.1　受入基準

D.2.3.1.1

車両メーカーは、ADS安全受入基準概要を提出しなければならない。

これには、

• 危害挙動受入基準

• 残余リスク受入基準

を含む。

注： 受入基準では、システム機能不足、故障等によって生じる可能性のあるリスクを考慮する。

D.2.3.1.2

ADSの危害挙動受入基準は、少なくとも表D.1の車両危害をカバーしなければならない。

注： 危害挙動受入基準とは、車両の挙動が危害挙動に該当し、危害事象につながる可能性があるかを判定する基準である。

例えば、ある特定の挙動を危害挙動と判断する際の、安全尺度に対応する物理パラメータ等である。

D.2.3.1.3

車両メーカーは、ADSの残余リスク受入基準を定義しなければならない。

定義にあたっては、

• 既存の人間運転による事故データ

• 運転支援システム事故データ

• 自動運転事故データ等

• 業界の先進技術

を考慮する。

注1： 残余リスク受入基準とは、車両運行中の残余リスクが合理的な水準にあるかを判定する基準をいう。

例えば、

• 対象市場の交通事故統計を考慮した単位時間又は単位距離当たりの最大事象数

• ポジティブ・リスク・バランス原則

等である。

注2： ADSを市場導入した場合に、従来のリスク状況と比べてリスクを悪化させないことを考慮する。

中国国家統計局、道路交通事故統計年報等のデータセットに基づく残余リスク受入基準の例として、本規格は以下を示している。

• 衝突等の事故率：10⁻⁴/h未満

• 軽傷事故率：10⁻⁵/h未満

• 重傷事故率：10⁻⁶/h未満

• 死亡事故率：10⁻⁷/h未満

車両メーカーは、その他の指標を使用してもよい。

D.2.3.1.4

システム機能不足又は故障によって生じ得る衝突リスクについて、全体として残余リスク受入基準を満たさなければならない。

D.2.3.2　検証基準及び妥当性確認目標

D.2.3.2.1

車両メーカーは、ADS安全検証基準及び妥当性確認目標の概要を提出しなければならない。

D.2.3.2.2

危害挙動の検証に使用する受入基準は、少なくとも表D.1の安全目標及び安全尺度要求を満たさなければならない。

注1： 危害挙動に対する検証受入基準は、ODC範囲内における人間運転のシナリオ及び行動データの研究に基づいて導出する。

注2： 危害挙動の検証受入基準とは、検証・妥当性確認過程で、危害シナリオに対応する危害挙動を受容できるか判断する基準であり、通常は、

• 時間型指標

• 距離型指標

• 複合型指標

等、客観的な物理世界の関係を反映した尺度である。

D.2.3.2.3

車両メーカーは、残余リスク受入基準への適合を論証するため、定量的な残余リスク妥当性確認目標を設定しなければならない。

注1： GB/T 43267-2023のC.3の方法を参照し、残余リスク受入基準を10⁻⁴/hとする場合、妥当性確認目標を16,000時間とする例が示されている。

検証・妥当性確認段階において、この累積運行時間内に、機能不足又は故障による安全関連事象が一度も発生しなかった場合、80％の信頼度で、当該システムが定義した残余リスク受入基準を満たしていると判断するための目標である。

車両メーカーは別の方法によって妥当性確認目標を定義してもよい。

注2： 妥当性確認目標が実際にどの程度有効であるかは、試験シナリオがADSのODDをどの程度代表しているかに依存する。

D.2.4　安全対策の説明

D.2.4.1　一般要求

車両メーカーは安全対策の説明を提出しなければならない。

• 機能安全対策：D.2.4.2

• SOTIF対策：D.2.4.3

に適合しなければならない。

D.2.4.2　機能安全対策

D.2.4.2.1

車両メーカーは、ADSが危害をどのように識別・対応し、それに対してどのような機能安全対策を採用するかを記述した説明を提出しなければならない。

D.2.4.2.2～D.2.4.2.16をカバーし、安全目標を実現するために選択した安全対策が、故障状態・非故障状態のいずれにおいても車両の安全運行を妨げないことを確保しなければならない。

D.2.4.2.2

安全コンセプトは、システムがDDTを実行できない場合にADSが車両を制御することを回避するための方策を説明しなければならない。

これには技術的解決策又はその他の関連措置を含めることができる。

D.2.4.2.3

自動運転機能の作動中、安全運行へ影響し危害につながる可能性のある車両故障を検知しなければならない。

安全運行へ影響する状況が存在する場合、

• 警告信号

• 通知情報等

によってユーザーへ通知し、フォールバック応答を実行しなければならない。

D.2.4.2.4

ADS作動中に安全関連故障が発生した場合、安全コンセプトは、安全目標を満たすため少なくとも以下の一つ以上の安全対策を採用することを説明しなければならない。

外部対策を含む。

a）ADSの一部システムを用いてADSフォールバック応答を実現する。

注1： 説明には、

• 当該モードを作動させる条件、例：故障種類

• 当該モードでの自動運転機能の挙動及び能力、例：MRC到達

• フォールバックユーザーへの事前警告方策（該当する場合）

を含む。

b）独立システムによる冗長設計。

注2： 説明には、独立システムによる冗長化、切替機構の原則、切替を決定する論理アーキテクチャ及び当該対策の限界を含む。

c）同一機能を実行する多様化システム設計。

注3： 多様化システムによる冗長化、切替原則、切替決定論理及び限界を含む。

d）一部又はすべての自動運転機能を制限する。

注4： 本規格の関連規定に従って当該操作を行う方法、及び自動運転機能に関連するすべての出力制御信号を抑制する方策を含む。

D.2.4.2.5

ADS作動中、電気・電子システムの単一故障によって以下の能力を完全に喪失することを回避しなければならない。

• 能動操舵

• 能動制動

• 能動駐車

注1： ADSがフォールバックユーザーによる引継ぎを必要とするか、故障発生の潜在的可能性等に応じて、故障診断カバレッジ要求を合理的に定義する。

注2： フォールトトレラント・アーキテクチャを採用し、MRM能力の冗長度を適切に向上させる。例えば、冗長部品又は他システムによる代替機能を利用し、故障によるMRM能力喪失リスクを合理的に受容可能な水準まで低減する。

D.2.4.2.6

ADSの故障によって車両の緊急運転支援機能が直接停止してはならない。

ただし、ADSと緊急運転支援システムが共用する構成部品に重大故障が発生した場合を除く。

D.2.4.2.7

L3自動運転機能について、電気・電子システムの単一故障によって通知能力が完全に失われることを回避しなければならない。

注： ユーザー通知能力には、

• 音響通知

• 触覚通知

• 視覚通知

等、ユーザーが知覚可能な方式を含む。

例：

• 車内音声

• シートベルト振動

• シート振動

• パルス制動

• メーターパネル

• センターディスプレイ

• アンビエントライト

• ステアリングホイールのライトバー等

D.2.4.2.8

MRM能力を喪失させる可能性のある重大故障又は極端な状況について、残余リスクを合理的な水準に管理しなければならない。

D.2.4.2.9

MRMを実行不能とする重大故障又は極端な状況が存在する場合、車両メーカーはこれを申告しなければならない。

例：

• タイヤバースト

• シャシーの物理的損傷等

D.2.4.2.10

遠隔支援に対応するADSでは、遠隔通信リンクの故障を検知しなければならない。

安全関連故障が存在する場合、遠隔支援機能を有効化してはならない。

注： 遠隔支援がADSの安全運行に必須である場合は、速やかにMRMへ移行する。

D.2.4.2.11

車両メーカーは、ADS運行段階における安全保証措置を説明しなければならない。

運行段階で発生し得る故障について、

• 安全監視

• リスク検知

• 緩和措置

を備え、運行中も残余リスク受入基準を満たすことを確保する。

注： 監視・検知・緩和措置は、車載措置及び／又はクラウド等の車外措置を含むことができる。

D.2.4.2.12

安全監視及びリスク検知は、ADSの潜在的安全関連故障を発見するため、少なくとも以下の異常事象判定を含まなければならない。

a）システム入力異常。

• 入力信号なし

• 誤った入力（故障を含む）

b）システム出力異常。

1）出力なし。

2）誤った出力。

c）安全事象・事故。

1）故障によってMRMが作動した事象。

2）ADSが直接又は間接的に関係した衝突事故。

D.2.4.2.13

故障による安全関連事象を監視した場合、運行継続が可能か、又は対応措置が必要かを判断するためのリスク評価メカニズムを備えなければならない。

D.2.4.2.14

実運行中に故障によって生じたリスク問題を管理するプロセスを備えなければならない。

これには、

• 事象又は事故報告

• 問題調査

• リスク評価

• 対策管理

• 対応措置の実施

• 効果フィードバック

等を含む。

D.2.4.2.15

故障によって生じた、受容できない運行リスク事象について、以下の対策を備えなければならない。

a）リスク原因を特定するための調査を行う。

例：現場で収集したデータからシナリオを再構成する。

b）該当する場合、システマティック故障に対してシステム設計を更新する。

例：OTAアップデート。

D.2.4.2.16

機能安全対策を実施した後、その有効性を監視・評価しなければならない。

リスクがなお不合理である場合は、対策を調整しなければならない。

D.2.4.3　SOTIF対策

D.2.4.3.1

車両メーカーは、D.2.4.3.2～D.2.4.3.22をカバーするSOTIF対策説明を提出し、

• ADSに存在する機能不足

• 対応するトリガー条件

• それによって生じる車両危害

• 対応する安全対策

を説明しなければならない。

D.2.4.3.2

自動運転機能の作動中、安全運行へ影響し危害につながる可能性のあるSOTIF上の問題を検知しなければならない。

安全運行へ影響する状況が存在する場合、

• 警告信号

• 通知情報等

によってユーザーへ通知し、速やかにフォールバック応答を実行しなければならない。

D.2.4.3.3　ODC関連安全コンセプト

以下を含まなければならない。

a）D.1.2.1 c）の条件が存在するかどうかをADSがどのように判定するか、及び関連・依存条件をどのように扱うか。

例：積雪・凍結時の減速。

b）ADS運行中に合理的に予見可能なトリガー条件。

これには、

• 環境条件

• 地理的条件

• 特定の交通・道路特性の存在又は欠如

等を含み、これらとADSのODDがどのように対応するかを説明する。

c）合理的に予見可能なトリガー条件の一覧は、少なくとも表D.2の条件を含むこと。

d）ODCを満たさない場合に機能を作動できないようにする方法。

e）ODC不適合が間近に迫った場合又は突然発生した場合に、フォールバックユーザーの応答を開始させること。

f）突然のODC不適合へ対応し、ADSの頻繁な作動・解除を制限する方策。

D.2.4.3.4

自動運転機能を終了するためのSOTIF方策には以下を含めなければならない。

a）運行中のSOTIFリスク問題の判定。

b）安全関連ODC条件への不適合の判定。

c）ユーザーによる機能停止又は引継ぎが合理的かどうかの判定。ユーザー状態判定を含む。

D.2.4.3.5

ADSと他の運転自動化システムとの間の移行方策には、

• 制御優先順位

• 他の運転自動化システムの抑制又は中断

等を含めなければならない。

D.2.4.3.6

制御可能性に関する方策には以下を含める。

a）自動運転機能終了中の制御可能性を確保する方策。

b）ユーザーによる介入・引継ぎを許容するADSについて、ユーザーの制御可能性を確保する方策。

c）ODC境界条件における合理的なシステム制御可能性保証方策。

例：天候状況を識別して能動的に減速する。

注： L3でシステムが介入要求を開始する場合、最初の警報発出後、フォールバックユーザーが引き継がない場合の合理的な介入要求継続時間は、通常10秒以上とする。

時間終了後も引継ぎが行われない場合、又は途中でリスクが高まった場合、システムは直ちにMRMを実行し、車両運行リスクを最小化する。

潜在的に介入要求継続時間が10秒未満となる場合、そのリスクが合理的であることを説明しなければならない。

D.2.4.3.7

走行中の手動運転への解除を許容しない自動運転機能について、乗客に関する安全リスクの一覧を記述しなければならない。

例：

• シートベルト未装着

• 乗客が着席していない等の合理的に予見可能な誤使用

さらに、自動運転機能作動中にそれらのリスクをどのように管理するか説明する。

対策には以下を含む。

a）警告信号又は通知情報によって乗客へ危険な行動を知らせる。

b）警告後一定時間内に乗客が誤使用を是正しない場合、又はリスクが高まった場合、MRMを開始し、必要に応じてMRCへ移行する。

c）誤使用によって衝突が回避不能となった場合、緊急減速、緊急操舵等によって事故の傷害又は損失を低減する。

D.2.4.3.8

該当する場合、走行中の手動運転への解除を許容しない自動運転機能について、車内ユーザーによる、

• 濫用

• 誤使用

• 操作ミス

がDDTの安全な実行へ影響することを防止又は軽減する措置・方策を記述しなければならない。

例：車内ユーザーが運転操作装置に触れようとする場合。

注1： 隠蔽、隔離等、機械的又は電子的方式によって運転操作装置への誤操作を遮断する。

注2： 操作力を増加させる、反力を加える等によって、正規の引継ぎ・介入手順に従わない危険な操作に抵抗する。

D.2.4.3.9

該当する場合、車両メーカーは、外部から車内ユーザーへ危害が加えられることを防止、軽減又は阻止する措置を説明しなければならない。

例：無許可の人物が乗員のいる車両へ侵入しようとすること。

D.2.4.3.10

該当する場合、外部から車両又はADSへ加えられる濫用・誤使用を防止、軽減又は阻止する措置を説明しなければならない。

例：

• 走行中の車両へ異物を置く

• 車両を損壊しようとする行為

D.2.4.3.11

車両の作動条件が良好でない場合にADSが車両を制御することを回避する方策を説明しなければならない。

例：

• タイヤの異常

• 外部荷重の異常等

方策には、

• 技術的解決策

• 物理的点検

• その他の関連措置

を含めることができる。

D.2.4.3.12

ユーザー誤使用への方策には以下を含める。

a）ユーザー状態を検知する方策。

例：L3フォールバックユーザーの引継ぎ準備能力の判定及び応答。

b）ユーザー操作の合理性を判定する方策。

例：誤介入の判定及び応答。

c）合理的に予見可能なユーザー誤使用に対するリスク低減方策。

D.2.4.3.13

ADSが衝突を回避するために採用する安全対策を説明しなければならない。

これには以下を含む。

a）道路及び路面状況を監視する。

例：

• 工事

• 障害物

• 低摩擦路面等

b）ORUを監視し、行動を予測する。

c）未知の対象物へ合理的に対応する。

d）ORUの非意図的・予想外の行動へ合理的に対応する。

e）不可視領域へ合理的に対応する。

f）安全な速度及び距離を維持する。

g）必要に応じて緊急応答によって衝突を回避する。

D.2.4.3.14

ADSが車両と安全関連対象物との衝突発生を判定する方策を説明しなければならない。

D.2.4.3.15

安全関連対象物との衝突が重大な損害を生じさせるかを判定する方策を説明しなければならない。

判断要素には例えば、

• 衝突対象

• 衝突位置

• 相対衝突速度

• 自車速度

等を使用できる。

D.2.4.3.16

衝突を回避できない場合、ADSは衝突を検知し、可能な限りリスクを軽減しなければならない。

a）自車速度を調整して相対衝突速度を低減し、衝突の重大度を下げる。

b）車両を停止状態にする。

D.2.4.3.17

車両メーカーは、ADS運行段階における安全保証措置を説明し、運行中に発生し得る機能不足について、

• 安全監視

• リスク検知

• 緩和措置

を備え、残余リスク受入基準を満たすことを確保しなければならない。

D.2.4.3.18

安全監視及びリスク検知は、潜在的な安全関連機能不足を発見するため、以下の異常事象を判定しなければならない。

a）システム入力異常。

1）入力信号なし又は誤った入力。知覚システムの摩耗・経年劣化を含む。

2）突然ODDから逸脱すること。

3）人による不合理な操作又は適切に引継ぎを行わないこと。

b）システム出力異常。

1）出力なし。

2）誤った出力。

c）安全事象・事故。

1）機能不足によってMRMが作動した事象。

2）ADSが関係する潜在的リスク事象。

例：緊急運転支援機能の作動事象。

3）ADSが直接又は間接的に関係した衝突事故。

D.2.4.3.19

機能不足によって生じた安全関連事象について、運行継続が可能か、又は対応措置が必要か判断するためのリスク評価メカニズムを備えなければならない。

D.2.4.3.20

実運行中に機能不足によって生じるリスク問題について、以下を含む管理プロセスを備えなければならない。

• 事象又は事故報告

• 問題調査

• リスク評価

• 対策管理

• 対応措置の実施

• 効果フィードバック

D.2.4.3.21

機能不足によって生じる、受容できない運行リスク事象について、以下の対策を備えなければならない。

a）リスク原因を特定するための調査。

例：現場収集データによるシナリオ再構成。

b）該当する場合、

• 機能使用範囲の制限

• 機能縮退

• 機能停止

を行う。

c）該当する場合、システム機能不足に対して設計を更新する。

例：

• ODD更新

• OTAアップデート

d）該当する場合、

• 使用リスクをユーザーへ通知

• 操作制限を更新

• 操作ガイダンスを更新

する。

注： 実運行リスクの緊急性評価に応じて、即時対応又は長期的改善を行う。

D.2.4.3.22

安全対策実施後、その有効性を監視・評価し、リスクがなお不合理である場合には対策を調整しなければならない。

D.2.5　安全分析

D.2.5.1　一般要求

D.2.5.1.1

車両メーカーは、

• 車両レベル

• システムレベル

の安全分析を提出し、表D.1の車両危害につながる故障及び機能不足を有効に特定・処理していることを説明しなければならない。

D.2.5.1.2

安全コンセプトは、危害特定において、車両メーカーが以下の両方向の方法を採用していることを証明しなければならない。

• トップダウン：潜在的危害から設計へ

• ボトムアップ：設計から潜在的危害へ

例：

• FMEA

• FTA

• HAZOP

• STPA等

D.2.5.1.3

システムレベルの安全分析には、システム安全分析に適した方法を使用しなければならない。

例：

• FMEA

• FTA

• STPA

• その他の類似手法

D.2.5.1.4

D.2.5.2及びD.2.5.4の車両・システムレベル安全分析概要では、システムが監視するパラメータを列挙し、安全分析で扱う各故障状況について、

• ユーザー

• 整備担当者

• 検査担当者

に対して発する警告信号を列挙しなければならない。

D.2.5.1.5

同じく車両・システムレベル安全分析概要では、以下のような環境条件によってシステム性能が影響を受けても、車両の安全運行が妨げられないようにする措置を説明しなければならない。

• 気候

• 温度

• 粉塵侵入

• 浸水

• 凍結等

D.2.5.2　車両レベル安全分析概要

D.2.5.2.1

車両メーカーは車両レベル安全分析概要を提出し、D.2.5.2.2～D.2.5.2.9を満たさなければならない。

D.2.5.2.2

自動運転機能が危害をどのように識別・対応するかを説明し、以下を含めなければならない。

a）ユーザー及びORUの安全に影響する可能性のある危害を軽減又は回避するため、ADSがどのように挙動するか。

例：制御方策。

b）ADSが未知の危害シナリオへどのように対応するか。

D.2.5.2.3

ADSと他の車両システムとの相互作用が、故障状態を含め、どのような潜在的安全リスクを生じさせるか、及びそれに対応する安全対策を説明しなければならない。

D.2.5.2.4

ADS故障によって生じ得る車両レベル安全リスク及び対応する安全対策を説明しなければならない。

D.2.5.2.5

自動運転機能の機能不足によって生じ得る車両レベル安全リスク及び対応する安全対策を説明しなければならない。

例えば、

• 車両周囲の知覚不足によるリスク

• 合理的に予見可能な誤使用

等を含む。

D.2.5.2.6

車両メーカーが、行動能力及びODD関連シナリオを導出する方法を説明しなければならない。

例：機能不足及びトリガー条件の分析に基づく方法。

D.2.5.2.7

シナリオを特定・生成する方法を説明し、その方法が以下を満たすことを示さなければならない。

a）適切な、

• 標準シナリオ

• リスクシナリオ

• 機能失陥シナリオ

等をカバーすること。

b）以下の方法等を用いて、危害事象及びその他の安全関連事象を体系的に特定すること。

• データ駆動

• 知識駆動

• ランダム手法

注：

データ駆動：既存のシナリオ又は事象データセット等。

知識駆動：

• 業界標準

• ベストプラクティス

• 専門家経験

• 推論等

ランダム手法：ランダムシナリオサンプリング等。

c）ODD内の実際の交通状況を反映する要素、特に動的要素を含むこと。

d）すべての関連するシナリオ要素について、特定済みの特性及び挙動をカバーすること。

D.2.5.2.8

車両メーカーのシナリオ選択方法を説明し、その方法が、ADSが遭遇する以下の合理的に予見可能なシナリオ及び条件をカバーすることを示さなければならない。

a）ADSフォールバック応答を発生させる必要のあるシナリオを十分に選定する。

例：ODD境界への接近。

b）ADSでは防止できないシナリオ。

例：

• ORUの危険な割込み

• ORUの横断

• 道路工事

• 信号機故障

等。

c）具体的シナリオを選択する際、適切な技術によってパラメータ空間を探索する。

例：

• データ統計

• ランダム生成法

D.2.5.2.9

定義したODCシナリオ条件が、どの程度代表性を有するかを説明しなければならない。

D.2.5.3　詳細車両レベル安全分析

車両メーカーは、詳細な車両レベル安全分析を備査用として保有し、以下の基本情報を提供しなければならない。

• 企業名

• 文書名

• バージョン

• 状態

• 日付

• 保存場所等

D.2.5.4　システムレベル安全分析概要

D.2.5.4.1

車両メーカーは、システムレベル安全分析概要を提出し、D.2.5.4.2～D.2.5.4.5を満たさなければならない。

D.2.5.4.2

以下を説明しなければならない。

• ADSアーキテクチャの各階層要素

• 各要素の機能

• 各要素の潜在的な安全関連故障モード

• 故障による影響

影響については、

• システムレベル

• 車両レベル

の双方を含む。

D.2.5.4.3

システム要素の機能失陥に対して構築した安全機構を説明し、その有効性を示さなければならない。

D.2.5.4.4

システムアーキテクチャ要素について、

• 機能不足

• トリガー条件

• システムレベル安全影響

• 車両レベル安全影響

を説明しなければならない。

D.2.5.4.5

機能不足及びトリガー条件に対して構築した安全対策を説明し、その有効性を示さなければならない。

D.2.5.5　詳細システムレベル安全分析

車両メーカーは、詳細なシステムレベル安全分析を備査用として保有し、企業名、文書名、バージョン、状態、日付、保存場所等の基本情報を提供しなければならない。

D.2.6　検証・妥当性確認計画及び結果

D.2.6.1　一般要求

D.2.6.1.1

車両メーカーは、検証・妥当性確認計画及び結果を提出しなければならない。

このうち、

• 機能安全の検証・妥当性確認計画及び結果はD.2.6.2

• SOTIFの検証・妥当性確認計画及び結果はD.2.6.4

に適合しなければならない。

D.2.6.1.2

車両メーカーは、以下を実現するために適切なプロセス、リソース及び専門人員をどのように決定したかを説明しなければならない。

a）ADSのセーフティケースを裏付ける証拠を提供するための試験を設計・実施すること。

b）実際の交通シナリオを適切に再現するため、静的要素及び動的要素で構成される試験場試験用シナリオを選定すること。

c）道路試験ルートを特定し、以下を含めること。

• 道路タイプ、道路トポロジー等、ODDにおいて予見可能な関連要素

• ORU、交通標識、交通信号等、標準シナリオにおける関連要素

• 混雑した交通流、閑散とした交通流等の典型的動的条件

注： 道路試験ルートは、標準シナリオにおけるHMIの試験・検証にも使用できる。これには、ODD外からODD内への移行及びODD内からODD外への移行を含む。

d）各シナリオにおけるADSのDDT実行が行動能力要求を満たしているかを評価すること。

e）ユーザーの安全及びADSの安全な使用を確保するため、ADSの能力を評価すること。

D.2.6.2　機能安全の検証・妥当性確認計画及び結果概要

D.2.6.2.1

車両メーカーは、車両レベル及びシステムレベルの検証・妥当性確認計画及び結果を提出し、表D.1の安全目標へ影響するすべての危害及び故障について検証・妥当性確認を実施したことを説明しなければならない。

検証・妥当性確認は、

• Hardware-in-the-Loop（HIL）試験

• 実車試験

• その他の適切な方法

に基づかなければならない。

注： システムレベルの対象範囲には、システム機能を実現するセンサー、コントローラー、アクチュエータに関連するインターフェース及び処理部分を含む。

D.2.6.2.2

機能安全の検証・妥当性確認計画概要には、以下を含めなければならない。

a）基準及び目標、並びに検証・妥当性確認シナリオをどのように選択したかの説明。

b）検証基準の評価方法。

c）選択した検証基準についての合理的説明。

d）目標が達成されたことを示す証拠を含む、検証・妥当性確認結果。

例：検証基準が受入基準を満たしていること。

D.2.6.2.3

車両メーカーは、システムレベルの検証計画及び結果概要を提出し、以下について検証したことを説明しなければならない。

• システム機能安全コンセプトへ影響するすべてのシステム内部故障

• 外部インターフェース故障

• 安全対策の有効性

少なくとも以下を含む。

a）検証対象。

例：

• 車両型式

• システム名称

• ソフトウェアバージョン

• ハードウェアバージョン等

b）検証目的。

例：機能安全コンセプトが十分に実現されているかを検証すること。

c）検証方法及び手順の概要。

試験によって検証する場合は、

• 試験設備

• 試験環境

も説明する。

d）受入基準。

e）検証結果概要。

D.2.6.2.4

車両メーカーは、詳細なシステムレベル検証計画及び結果を備査用として保有し、企業名、文書名、バージョン、状態、日付、保存場所等の基本情報を提供しなければならない。

D.2.6.2.5

車両メーカーは車両レベルの検証・妥当性確認計画及び結果概要を提出し、以下について検証したことを説明しなければならない。

• 表D.1の安全目標及び機能安全コンセプトへ影響する、システム間／コンポーネント間の統合結果

• システム間／コンポーネント間のインターフェース故障

• 安全対策の有効性

また、安全目標の十分性及び達成状況について妥当性確認を行わなければならない。

少なくとも以下を含む。

a）検証・妥当性確認対象。

例：

• 車両型式

• システム名称

• ソフトウェアバージョン

• ハードウェアバージョン等

b）検証・妥当性確認目的。

例：

• システムと車両の他の関連システムとの安全な相互作用要求を検証する

• 安全目標が正しく、完全で、十分に実現されていることを確認する

c）検証・妥当性確認方法及び手順の概要。

試験を実施する場合は、試験設備及び試験環境を含む。

d）受入基準。

これには、

• 安全尺度

• その他の受入基準（該当する場合）

を含む。

e）検証・妥当性確認結果概要。

D.2.6.3　詳細な機能安全の検証・妥当性確認計画及び結果

車両メーカーは、詳細な車両レベルの検証・妥当性確認計画及び結果を備査用として保有し、以下の基本情報を提供しなければならない。

• 企業名

• 文書名

• バージョン

• 状態

• 日付

• 保存場所等

D.2.6.4　SOTIFの検証・妥当性確認計画及び結果概要

D.2.6.4.1

SOTIFの検証・妥当性確認計画概要には以下を含めなければならない。

a）検証基準及び妥当性確認目標

1）ODC及びその境界を合理的にカバーできるよう、検証・妥当性確認シナリオをどのように選択したかを説明する。

2）ODCの合理的なカバレッジを決定する、

• 方法

• 測定指標

• 目標

を明確にする。

3）D.2.3.2に従って定義した検証基準及び妥当性確認目標。

b）検証基準の評価方法。

c）選択した検証基準についての合理的説明。

d）目標達成を証明する証拠を含む検証・妥当性確認結果。

例：検証基準が受入基準を満たすこと。

e）ADS又は自動運転機能が廃止された後に再び作動されることを防止する方策。

f）検証対象。

例：

• 車両型式

• システム名称

• ソフトウェアバージョン

• ハードウェアバージョン等

g）検証・妥当性確認方法及び手順の概要。

試験による場合は、

• 試験設備

• 試験環境

についても説明する。

h）SOTIF検証・妥当性確認計画に基づき、適切な検証・妥当性確認プロセス、リソース及び専門人員を決定していること。

D.2.6.4.2

以下を確認しなければならない。

• 残余リスク受入基準が達成されていること

• 試験走行距離に含まれるシナリオ分布が、システムの想定運行シナリオと同一又は高度に類似していること

D.2.6.4.3

ADSの検証及び妥当性確認には適切な方法を使用しなければならない。

例：

• 試験

• データ駆動

• 分析・レビュー等

D.2.6.4.4

試験は、検証・妥当性確認の主要な方法の一つとして使用しなければならない。

適用可能な試験方法には、

• シミュレーション試験

• 試験場試験

• 道路試験

等がある。

試験だけでは十分な証拠が得られない場合、又は試験だけでは検証・妥当性確認の全要求を満たすことが困難な場合、その他の適切な方法を補足的に使用しなければならない。

例： シミュレーション試験におけるシナリオ生成では、

• データリプレイ

• データ生成

等の方法を使用できる。

注1： データ駆動手法と試験を組み合わせて検証・妥当性確認を実施する。

注2： 分析・レビューを分散開発活動と組み合わせ、測定不能又は測定困難な部分が残余リスク受入基準へ影響するかを評価する。

注3： 道路試験で検証・妥当性確認を行う場合、交通安全を確保した上で、想定運行シナリオに従って試験条件を選定する。

D.2.6.4.5

試験場試験については、試験シナリオを適切に再現するため、静的及び動的なシナリオ要素を選択・組み合わせなければならない。

D.2.6.4.6

異なるリスク種類又はシナリオ種類に応じて、残余リスク妥当性確認目標を分解し、それぞれに適した検証・妥当性確認方法を選択しなければならない。

注1： 信頼性及び等価性を満たすことを前提として、シミュレーション試験と実車試験の目標及び試験量を一定比率で配分する。

注2： シミュレーション試験を用いる場合、試験目標及び等価試験距離又は時間の合理性について論証する。

D.2.6.4.7

安全に影響する変更について、回帰方策を策定し、検証・妥当性確認活動の全部又は一部を再実施する必要があるかを決定しなければならない。

注： 回帰方策は文書化し、トレーサビリティ管理を行い、レビューによってその合理性及び有効性を確保する。

D.2.6.4.8

検証・妥当性確認試験で使用する、

• シミュレーション・ツールチェーン

• 実車測定設備

• 試験車両等

は、安全検証・妥当性確認に関する要求を満たさなければならない。

注： シミュレーション試験を採用する場合、適切なシミュレーション・ツールチェーンを選択し、

• 試験の正確性

• 結果の信頼性

• 結果の一貫性

を確保する。

D.2.6.4.9

データ駆動手法によって検証・妥当性確認を行う場合、適切な方法を使用しなければならない。

例：

• データモニタリング

• シャドーモード等

注1： シナリオ又は事象をトリガーとしたデータ監視・フィードバック機構を構築し、異なるシナリオ又は事象における残余リスク評価を行うことができる。

注2： シャドーモードを単独で、又はシミュレーション試験と組み合わせて使用し、危害シナリオのリスク評価・再試験を行う場合、その方法の有効性及び信頼性を説明する。

注3： シャドーモードに基づいて検証・妥当性確認活動を行う場合、ADSの通常作動へ干渉しないための必要な機構を備えなければならない。

D.2.6.4.10

データ駆動手法によって検証・妥当性確認を行う場合、関連データチェーンが満たすべき要求を説明しなければならない。

これには以下の活動を含む。

• データ収集

• データ処理

• データ伝送

• データアノテーション

• データマイニング等

D.2.6.4.11

車両メーカーはSOTIF検証・妥当性確認結果概要を提出しなければならない。

システムレベル及び車両レベルで実施したSOTIF検証・妥当性確認活動により、

• 既知の危害シナリオに関する機能不足が改善・最適化されたこと、又は

• 安全対策によって有効にカバーされていること

を検証しなければならない。

さらに、既知・未知双方の危害シナリオにおける残余リスクが、十分な信頼度で受入基準を満たしていることを証明しなければならない。

少なくとも以下を含む。

a）既知危害シナリオの検証結果概要。

b）既知及び未知危害シナリオの残余リスク妥当性確認結果概要。

D.2.6.4.12

D.2.5のトリガー条件分析結果に基づき、少なくとも表D.2のトリガー条件を含め、システムが受入基準へ違反する可能性のあるトリガー条件及びその組合せについて、既知危害シナリオの十分な検証・妥当性確認を行わなければならない。

注1： ADSのODC定義、シナリオ及びトリガー条件の発生頻度、重大度、相関性等に基づき、定性的又は定量的にシナリオ検証の重要度を順位付けする。GB/T 43267-2023の表B.5及び表B.6の優先度サブセット手法を参照できる。

注2： 危害シナリオを生成する際には、

• ODC内部

• ODC境界

のカバレッジを考慮し、トリガー条件の種類ごとにデータ駆動又は知識駆動によって、各種シナリオのカバレッジを定性的又は定量的に評価する。

表D.2　トリガー条件一覧

カテゴリー
トリガー条件
適用ODD
適用自動運転機能

環境：天候
雨、雪、霧、砂塵、スモッグ
すべての道路
L3、L4

環境：照明
時間帯（早朝、昼間、夕方、夜間）、照明変化（逆光、強い光、急激な照明変化）
すべての道路
L3、L4

相互作用：道路タイプ
カーブ、ランプ、トンネル、坂道
すべての道路
L3、L4

相互作用：道路タイプ
交差点、ラウンドアバウト
高速道路・都市快速路以外
L3、L4

相互作用：道路標示
車線標示なし、破線、薄くなった車線標示、変化する複数車線標示（多→少、少→多）
すべての道路
L3、L4

相互作用：道路施設
工事区域、交通信号、道路交通標識
すべての道路
L3、L4

相互作用：道路施設
ガントリー、料金所
高速道路・都市快速路
L3、L4

相互作用：道路施設
高さ制限ゲート
高速道路・都市快速路以外
L3、L4

相互作用：対象物種類
自動車、歩行者、オートバイ、動物、一時障害物（落下物等）、異形対象物（散水車、道路障害作業車等）、低コントラスト対象物（影の中の暗色車両等）
すべての道路
L3、L4

相互作用：対象物種類
自転車、電動二輪車、異形対象物（傘を差した歩行者、レインコート／ポンチョを着用した電動二輪車利用者等）
高速道路・都市快速路以外
L3、L4

相互作用：対象物状態
直立静止、移動、横転、斜め配置
すべての道路
L3、L4

相互作用：複数対象物
遮蔽、横断、並走、対向走行、割込み、退出、急制動
すべての道路
L3、L4

ユーザー誤使用
誤作動、作動後の誤使用、引継ぎを行わない、誤った引継ぎ、誤解除
すべての道路
L3、L4

D.2.6.4.13

既知危害シナリオの残余リスク確認には適切な方法を使用しなければならない。

受容できない既知危害シナリオ及び対応する機能不足については、残余リスクが合理的な水準へ低下するまで、リスク緩和措置を策定・実施しなければならない。

注： 既知危害シナリオの、

• 発生確率

• 重大度

• リスクにさらされる者の制御可能性（該当する場合）

に基づき、総合的な残余リスク受入基準達成への影響を評価する。

D.2.6.4.14

既知危害シナリオの残余リスク確認及び結果の受入れでは、以下を満たすかを判断しなければならない。

a）既知シナリオによって生じる危害挙動のリスクが、総合的な残余リスク受入基準への違反につながらないこと。

b）特定の道路利用者、すなわちユーザー及びORUを、不合理なリスクへさらす可能性のある既知危害シナリオが存在しないこと。

注： 短期間では修正できないリスクシナリオ及び対応する機能不足については、適切な措置によって不合理なリスクを回避する。

例：地理的位置に基づいて自動運転機能の利用を制限する。

D.2.6.4.15

ADSの未知危害シナリオにおける残余リスクを確認し、十分な信頼度で残余リスク受入基準及び妥当性確認目標を満たすことを確保しなければならない。

注1： ADSに変更が生じるたびに、新たな未知危害シナリオが発生する可能性があり、残余リスクを再評価する必要がある。

変更の例：

• アルゴリズム変更

• 運転戦略変更

• ODC変更

• 対象物・事象の検知及び応答戦略変更

• 車両型式変更

注2： 未知危害シナリオを特定する方法には例えば以下がある。

• 実世界データマイニング

• シャドーモード

• シナリオの一般化

• シナリオ合成

• シナリオ生成

• 専門家経験

• 極端・エッジシナリオの探索

• シナリオ感度分析

• ユーザー使用研究等

D.2.6.4.16

走行距離累積試験に基づいて未知危害シナリオの残余リスクを確認する場合、想定運行シナリオに従ってルートを選択し、以下を含めなければならない。

• 道路タイプ及び道路トポロジー等、ODDで予見可能な関連要素

• ORU、交通標識、交通信号等、標準シナリオの関連要素

• 混雑／閑散交通流等の典型的動的条件

その上で、道路試験、例えば、

• 車両の長期試験

• フリート道路試験

等によって確認する。

注： 実世界における未知危害シナリオはランダムに分布するため、距離ベースの妥当性確認を裏付けるには、統計的分析及び論証を行う。

D.2.6.5　詳細なSOTIF検証・妥当性確認計画及び結果

車両メーカーは、詳細なSOTIF検証・妥当性確認計画及び結果を備査用として保有し、以下の基本情報を提供しなければならない。

• 企業名

• 文書名

• バージョン

• 状態

• 日付

• 保存場所等

D.2.7　安全評価リリース報告概要

車両メーカーは、安全評価リリース報告概要を提出しなければならない。

以下を評価する。

• すべての安全関連活動の実施状況

• 各成果物の完全性

• 正確性

• 一貫性

• 安全検証・妥当性確認活動が想定運行シナリオをどの程度カバーしているか

• 残余リスクが受入基準に適合しているか

少なくとも以下を含む。

a）各試験シナリオにおけるADSのDDT実行が、行動能力、すなわち危害挙動受入基準を満たしているかの評価。

b）機能安全及びSOTIFのすべての活動で特定されたリスクを考慮した上で、

• ADSの能力がユーザーの安全を確保するのに十分か

• ADSの安全な使用を確保できるか

• 総合的な残余リスクが受入基準を満たしているか

の評価。

注： 機能安全については、安全目標が実現されており、安全目標への違反を生じさせる問題が存在しない、又は存在する問題のリスクが受容可能であることを評価する。

c）機能安全及びSOTIFに関する安全評価・リリースの結論。

d）運行段階における機能安全及びSOTIFの監視・保証措置概要。

これにより、運行段階の残余リスクを有効に特定し、不合理な残余リスクが生じた場合に速やかに安全保証措置を実施できるようにする。

D.3　主張、論証及び証拠

D.3.1　一般要求

D.3.1.1

セーフティケースには、一連の**主張（Claim）**を含めなければならず、少なくとも以下を満たさなければならない。

a）各主張を、少なくとも一つの論証が支えること。

b）各論証を、少なくとも一つの証拠が支えること。

c）各主張、論証及び証拠に一意の識別子を付与すること。

注： 一つの証拠が複数の論証を支える場合がある。

D.3.1.2

以下の要求それぞれについて、少なくとも一つの主張を対応させなければならない。

a）D.3.1.3が対象とする各条項要求。

b）D.3.1.4及びD.3.1.5に規定する各要求。

c）車両メーカー自身が定めた要求（該当する場合）。

注： 一つの広範な主張では不十分な場合、又は追加説明が必要な場合、複数のサブ主張を作成してよい。ただし、サブ主張が論理的に整合し、主張間の関係説明が概要文書に含まれていなければならない。

D.3.1.3

主張、論証及び証拠は、

• 理解しやすく

• 論理的で

• 正確で

• ロバスト

でなければならず、以下を証明しなければならない。

a）ADSがユーザー及びORUへ不合理なリスクを生じさせないこと。

b）ADSが本規格の以下の要求に適合していること。

1）DDT実行要求（5.1）。

2）HMI要求（5.2）。

3）ユーザーへの情報提供要求（5.3）。

4）その他の要求（5.4）。

D.3.1.4

主張、論証及び証拠は、SMS（6.1）をADSのライフサイクル全体における安全管理へどのように適用するかを説明しなければならない。

D.3.1.5

主張、論証及び証拠は、採用した試験方法が、

• セーフティケース

• 性能要求又は機能要求への適合性

を証明するのに適切であることを示さなければならない。

D.3.1.6

主張、論証及び証拠は、以下の概要情報を提供しなければならない。

a）主張と、それを支える論証・証拠との関係を明確にすること。

b）D.3.1.2の各要求がすべて識別され、適合していること。

D.3.1.7

主張、論証及び証拠に関連するすべての前提・仮定を説明しなければならない。

D.3.1.8

主張を支える各論証には、背景情報及び裏付け情報を提供し、適切な一連の証拠によって当該主張をどのように満たすかを説明しなければならない。

D.3.1.9

論証を支える証拠には、試験結果又は分析を含めなければならない。

例：

• システム構成図

• 模式図

• 画像

• 必要文書等

D.3.2　証拠を生成する試験活動の要求

D.3.2.1　証拠生成用試験条件の要求

D.3.2.1.1　シミュレーション試験条件

証拠生成に使用するシミュレーション試験条件は6.2.1を満たさなければならない。

セーフティケースにおけるシミュレーション試験条件の説明には、少なくとも以下を含める。

a）シミュレーション試験の意図した用途及び試験計画全体における役割。

b）6.2.1.7のクリティカリティ分析結果を考慮し、セーフティケースを裏付ける証拠を提供するとともに、ADSが機能要求又はユーザー要求を満たすかを評価すること。

c）シミュレーション・ツールチェーン及びそのコンポーネント。

d）シミュレーション・ツールチェーンの、

• 制限

• 仮定

• 結果へ影響し得る不確実性の発生源

e）シミュレーション・ツールチェーンの適用範囲。

f）シミュレーション・ツールチェーンの妥当性確認方法。

g）シミュレーション・ツールチェーンがセーフティケースを裏付ける証拠を生成できることを確認するための、

• 受入試験

• 受入基準

を含む。

D.3.2.1.2　試験場試験条件

証拠生成に使用する試験場試験条件は6.2.2を満たさなければならない。

セーフティケースには少なくとも以下を記述する。

a）意図した用途及び試験計画全体における役割。

b）ODC及び想定運行条件を反映する静的・動的要素。

D.3.2.1.3　道路試験条件

証拠生成に使用する道路試験条件は6.2.3を満たさなければならない。

少なくとも以下を記述する。

a）意図した用途及び試験計画全体における役割。

b）選択した試験ルート及びそのルート選択方策。

D.3.2.2　証拠生成用試験シナリオ及びその管理要求

D.3.2.2.1

ADSのODC及びセーフティケースに関連するADSの行動能力を導出するために採用するプロセスは、適切でなければならない。

D.3.2.2.2

シナリオを特定・生成する方法は、D.2.5.2.7を満たさなければならない。

D.3.2.2.3

生成・特定したシナリオ集合は、セーフティケースの証明に適しており、ADSが実運行中に遭遇し得る合理的に予見可能なシナリオ及び条件をカバーできなければならない。

セーフティケースの証拠として選択するシナリオ集合には、少なくとも以下を含む。

a）ADSフォールバック応答を発生させるシナリオ。

例：ODC不適合。

b）合理的に予見可能で、かつ防止不能なシナリオ。

例：

• ORUの危険な行動

• インフラ故障

D.3.2.2.4

具体的なシナリオを選択する場合、適切な技術を用いてパラメータ空間を探索しなければならない。

D.3.2.3　証拠生成用試験プロセスの要求

D.3.2.3.1

証拠を生成する試験プロセスは、D.2.6.1.2を満たさなければならない。

D.3.2.3.2

証拠生成用試験プロセスは適切であり、以下を満たさなければならない。

a）異なる試験方法を使用して試験する必要のあるシナリオを特定すること。

b）採用した異なる試験方法間で、試験結果の一貫性を検証すること。

D.3.2.4　試験結果の要求

D.3.2.4.1

試験結果には、適切な受入基準を含めなければならない。

注： 試験結果は個別に提供しても、まとめて提供してもよい。

D.3.2.4.2

試験結果は、ADSがDDTを実行する際の行動能力を証明できなければならず、少なくともセーフティケースにおける以下の主張・論証を裏付けなければならない。

a）標準シナリオ、リスクシナリオ及び機能失陥シナリオ。

b）ODC適合状態からODC不適合状態へ移行する場合。

c）ORUとの衝突を回避できない場合。

D.3.2.4.3

各試験には、十分な情報を含めるか、要求に応じて再現できるよう記録しなければならない。

例えば以下を同一にする。

• ソフトウェア／ハードウェアバージョン

• ツールバージョン

• シナリオ

• パラメータ等

証拠の再現を容易にするため、車両メーカーは必要なツール及び分析ソフトウェアについて、取得・実行可能な条件を提供しなければならない。

D.3.2.5　試験証拠の要求

D.3.2.5.1

試験証拠は、十分に記述された以下の試験の組合せから得られ、試験方法間の結果の一貫性を示さなければならない。

• シミュレーション試験

• 試験場試験

• 道路試験

D.3.2.5.2

シミュレーション試験証拠には、少なくとも、

• リスクシナリオ

• 低確率事象

を含めなければならない。

リスクシナリオには少なくとも衝突につながる可能性のあるシナリオを含む。

D.3.2.5.3

試験場試験証拠のシナリオには、少なくとも衝突につながり得るリスクシナリオを含めなければならない。

D.3.2.5.4

道路試験で収集する証拠は、少なくとも以下を満たさなければならない。

a）ADSが実運行で遭遇し得る多様なシナリオ・条件をカバーし、想定運行道路タイプをカバーすること。

b）道路試験中にADSがリスクシナリオ又は機能失陥シナリオへ遭遇した場合、試験場試験及びシミュレーション試験結果と組み合わせてADSの応答を評価すること。

この評価には、標準シナリオにおけるDDT実行要求との差異を含む。

D.3.2.5.5

相互作用に関する特定試験ケースは以下を満たさなければならない。

a）試験参加者が、想定ユーザー群及びORU群を代表していること（該当する場合）。

b）得られたデータ結果が統計的有意性を備えていること。

D.4　車両メーカーのセーフティケース内部監査要求

D.4.1

6.1.4への適合を示す証明の一部として、車両メーカーは型式認可前にセーフティケースをレビューしなければならない。

注： 開発過程で実施することが推奨される。

D.4.2

内部監査員は独立性を維持し、安全档案を公正かつ客観的にレビューする能力を脅かすいかなる影響も受けてはならない。

注： 内部監査員は、車両メーカーの内部人員でも外部人員でもよい。

D.4.3

内部監査は記録し、検査可能な状態にしなければならない。

少なくとも以下を含む。

a）内部監査員又は内部監査チームの資格。

b）内部監査日又は監査周期。

c）監査対象となった、

• セーフティケース

• ツール

• ADS

のバージョン。

d）セーフティケース内部監査に使用した方法。

e）再現可能な証拠の一覧。

f）特定された、

• 不適合事項

• 問題

• 信頼度が低い部分

• 未確定部分

D.4.4

車両メーカーは各内部監査後、合理的な期間内に、発見された問題に対する是正又は改善措置を内部監査文書へ組み込まなければならない。

例：バージョンリリース説明。

参考文献

[1] GB/T 34590.1～34590.12—2022
道路車両―機能安全

[2] GB/T 40429—2021
自動車運転自動化レベル分類

[3] GB/T 43267—2023
道路車両―意図した機能の安全性（SOTIF）

#中国
#自動車
#モビリティ
#中国モビリティ
#中医学的身体観
#中国モビリティと中医学的身体観
#電気自動車
#EV
#BEV
#REEV
#EREV
#レンジエクステンダーEV
#プラグインハイブリッド
#PHEV
#ハイブリッド
#HEV
#ICEV
#自動運転
#手放し運転
#スマートドライビング
#エンドツーエンド
#E2E
#AI運転
#スマートコックピット
#スマートラウンジ
#AIスピーカー
#AIアシスタント
#AIエージェント
#Case
#スマートカー
#SDV
#AIDV
#AI
#エンボディドAI
#フィジカルAI
#毎日note
#毎日更新
#毎日投稿
#note毎日更新